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The invention relates to a method and a 
computer system for operating at least two 
interconnected control devices (2, 3) which 
access sensor-related data (x1, ... x5) and 
respectively process at least one computer 
program for controlling operation cycles, 
particularly in a vehicle. The control devices (2, 3) 
exchange synchronization information among 
each other. In order to configure and further 
develop a computer system in such a way that 
even particularly complex operation cycles which 
occur in a modern motor vehicle, for example, 
can be controlled and/or regulated in a simple 
and inexpensive manner by means of 
conventional control devices (2, 3) with the aid of 
said computer system, the control devices (2, 3) 
process the same computer program in a 
synchronous manner with an adjustable delay 
(80). 
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Beschreibung 

Stand derTechnik 

5 [0001] Die vorliegende Erfindung betrifft ein Verfahren zum Betreiben von mindestenszwei miteinander verbundenen 
Steuergeraten. Die Steuergerate greifen auf Sensorikdaten zu und arbeiten jeweils mindestens ein Computerprogramm 
zur Steuerung von Betriebsablaufen, insbesondere in einem Fahrzeug, ab. Die Steuergerate tauschen Synchronisati- 
onsinformationen aus. Ein derartiges Verfahren ist zum Beispiel aus DE 44 08 488 A1 bekannt 
[0002] Die Erfindung betrifft auBerdem ein Rechnersystem umfassend mindestens zwei miteinander verbundene 

'o Steuergerate und ein die Steuergerate verbindendes Datenubertragungsmedium zum Austausch von Synchronisati- 
onsinformationen zwischen den Steuergeraten. Die Steuergerate greifen auf Sensorikdaten zu und arbeiten jeweils 
mindestens ein Computerprogramm zur Steuerung von Betriebsablaufen, insbesondere in einem Fahrzeug, ab. Das 
Datenubertragungsmedium kann auch zur Ubertragung von reinen Nutzdaten dienen. Die Ubertragung der Daten selbst 
kann als Synchronisationsinformation herangezogen werden. 

15 [0003] Aus dem Kraftfahrzeugbereich ist es bekannt verschiedene Betriebsablaufe in einem Kraftfahrzeug mit Hilfe 
von Steuergeraten zu steuern und/oder zu regeln. Die zu steuemden bzw. regelnden Betriebsablaufe umfassen bei- 
spielsweise den Betrieb einer Brennkraftmaschine (Momentenregelung, Drehzahlregelung, Regelung der Einspritzzeit, 
etc), einer elektronischen Lenkung (Steerby-Wire), einer elektronischen Bremse (Brake-by-Wire) oder anderer X-by- 
Wlre-Systeme, den Betrieb von sicherheitsrelevanten Funktionen (Fahrstabilitatsregelungen, Antiblockiersystemfurdie 

20 Bremsen, Antischlupfregelung, Aktivlenkung, aktive Dampferregelung, etc.) sowie Komfortfunktionen (Klimatisierung, 
elektrische Sitz-, Spiegel- oder Lenkradverstellung, elektrische Fensterheber, Schiebedach, etc.). 
[0004] Mit zunehmender Komplexitat der zu steuernden bzw. regelnden Betriebsablaufe steigt auch die Komplexitat 
der auf den Steuergeraten zur Erfullung der Steuerungs- bzw. Regelungsfunktion ablaufenden Computerprogramme, 
was letztendlich auch zu hoheren Anforderungen an die Steuergerate-Hardwarefuhrt. Insbesondere mussen zur Erful- 

25 lung der Steuerungs- bzw. Regelungsfunktion immer mehr Sensorsignale verarbeitet werden, die dem Steuergerat uber 
Eingange von Sensoren zur Verfugung gestelit werden. Die Anzahl der Eingange eines Steuergerats ist jedoch begrenzt. 
Urn die Steuerung bzw. Regelung von modernen, komplexen Betriebsablaufen zu ermoglichen, miissten deshalb Steu- 
ergerate mit einer groBeren Anzahl an Eingangen entwickelt und vertrieben werden. Die Entwicklung neuer Steuergerate 
ist jedoch aufwendig und kostenintensiv. Durch neu entwickelte Steuergerate wurde die Vietfalt an verschiedenen Steu- 

30 ergeraten ansteigen und die Stuckzahlen der einzelnen Steuergerate wiirden geringer, was ebenfalls mit zusatzlichen 
Kosten fur Steuergerate verbunden ware. 

[0005] Insbesondere im Kraftfahrzeugbereich sind jedoch geringe Kosten und damit verbundene standardisierte Bau- 
teile und hohe Stuckzahlen von groBer Bedeutung fur die Wettbewerbsfahigkeit von Bauteilen. 
[0006] Bereits heutzutage weisen herkommliche Standard-Steuergerate Stecker mit weniger Polen auf als fur kom- 
35 plexe Betriebsablaufe in Kraftfahrzeugen eigentlich erforderlich waren. Aus den oben beschriebenen Grunden werden 
auf absehbare Zeit jedoch keine neuen Steuergerate mit Steckern mit mehr Polen zur Verfugung stehen. Es gilt also, 
andere Moglichkeiten zu finden, mit Standard-Steuergeraten moderne, komplexe Betriebsablaufe zu steuern und/oder 
zu regeln. 

[0007] Aus dem Bereich der Informationstechnik ist es zur Steigerung der Rechnerkapazitaten bekannt, mehrere 
40 Rechner (beispielsweise sogenannte PCs, Personal Computer) mittels eines Datenubertragungsmediums zu einem 
Rechnersystem miteinander zu verknupfen. Das Datenubertragungsmedium kann eine Funkverbindung, eine optische 
Verbindung oder eine leitungsgebundene Verbindung sein. Uber das Datenubertragungsmedium konnen Daten und 
Informationen nach beliebigen Protokollen ubertragen werden. Auf den Rechnern solcher verteilter Rechnersysteme 
laufen verschiedene Computerprogramme mit unterschiedlichen Funktionen ab. Die Ablaufe auf den einzelnen Rechnern 
45 werden durch eine iibergeordnete Einheit oder durch einen Rechner (sogenannten Master) des Rechnersystems koor- 
diniert. Zu diesem Zweck ist es mbglich, dass der Master Synchronisationsinformationen fiber das Datenubertragungs- 
medium an die anderen Rechner (sogenannte Slaves) ubermittelt. Mit den verteilten Rechnersystemen ist es moglich, 
sehrflexibel eine groBere Rechnerkapazitat hinsichtlich Rechenleistung und Speicherkapazitatzu erzielen. Die groBere 
Anzahl an Eingangen und/ oder Ausgangen des Rechnersystems gegenuber den einzelnen Rechnern spielt dabei keine 
50 Rolle. Daruber hinaus werden an einem Rechner des Rechnersystems eingehende Eingangssignale nicht unbedingt 
auch an anderen Rechnern benotigt und deshalb von dem einen Rechner auch nicht an die ubrigen Rechner ubertragen. 
Das ergibt daraus, dass auf den Rechnern verschiedene Computerprogramme ablaufen, die in der Regel unterschiedliche 
Eingangssignale benbtigen. 

[0008] Ausgehend von dem eingangs beschriebenen Stand derTechnik liegt der vorliegenden Erfindung die Aufgabe 
55 zugrunde, ein Rechnersystem derart auszugestalten und weiterzubilden, dass mit Hilfe des Rechnersystems auch 
besonders komplexe Betriebsablaufe, wie sie beispielsweise in einem modernen Kraftfahrzeug auftreten, auf einfache 
und kostengunstige Weise mit herkbmmlichen Steuergeraten steuern und/oder regeln zu konnen. 
[0009] Zur Losung dieser Aufgabe wird ausgehend von dem Verfahren der eingangs genannten Art vorgeschlagen, 
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dass die Steuergerate das gleiche Computerprogramm zeitsynchron mit einem einstellbaren Zeitversatz abarbeiten. 
Vorteile der Erfindung 

5 [0010] GemaB dervorliegenden Erfindung werden mehrere Steuergerate mittels eines Datenubertragungsmediums 
zu einem Rechnersystem verknupft. Dabei steht weniger eine Steigerung der Rechenkapazitat als vielmehr eine Erho- 
hung der Anzahl der verfugbaren Eingange zur Ubermittlung von Sensorikdaten an die Steuergerate im Vordergrund. 
Auf alien Steuergeraten des Rechnersystems werden die gleichen Computerprogramme abgearbeitet, das heiBt die 
Steuergerate benotigen die gleichen Eingangssignale (Sensorikdaten) um die zur Erfullung der Steuerungs- und/oder 

10 Regelungsfunktion erforderlichen Berechnungen ausfuhren zu konnen. ErfindungsgemaB werden aber nicht alle Sen- 
soriksignale uber die Eingange an alle Steuergerate gefuhrt. Vielmehr wird die Gesamtheit der von den Computerpro- 
grammen benotigten und zur Verfugung stehenden Sensorikdaten auf die einzelnen Steuergerate des Rechnersystems 
aufgeteilt. Von diesem Steuergeratwerden die Sensorikdaten dann uber das Datenubertragungsmedium an die anderen 
Steuergerate des Rechnersystems ubertragen, damit sie auch dort zur Verfugung stehen. 

*5 [0011] Die Computerprogramme in den einzelnen Steuergeraten werden synchron, vorzugsweise zeitsynchron, das 
heiBt in streng vorgegebenen Zeitscheiben, abgearbeitet. Allerdings erfordert die Ubertragung der Sensorikdaten uber 
das Datenubertragungsmedium Zeit, wahrend der die Sensorikdaten noch nicht in alien Steuergeraten zur Verfugung 
stehen. AuBerdem stehen die Sensorikdaten nicht an alien Steuergeraten zeitgleich zur Verfugung, da die Ubertragung 
der Sensorikdaten unterschiedlich viel Zeit erfordert. Die erforderliche Zeitdauer hangt beispielsweise ab von der Ent- 

20 fernung zwischen sendendem und empfangenden Steuergerat, von der Auslastung des Datenubertragungsmediums 
oder von Storungen, welche die Datenubertragung beeintrachtigen konnen. Aus der Forderung nach Datenkonsistenz 
in den Steuergeraten des Rechnersystems und um der Zeitverzogerung aufgrund der Ubertragung der Sensorikdaten 
Rechnung zu tragen, werden die Steuergerate des Rechnersystems mit einem zeitlichen Versatz betrieben und die 
Computerprogramme in den Steuergeraten erst nach Ablauf einer einstellbaren Totzeit nach dem Beginn einer Zeit- 

25 scheibe abgearbeitet. Die Totzeit wird zum Austausch der Sensorikdaten und eventuell auch anderer Daten und Infor- 
mationen zwischen den Steuergeraten genutzt. Der Zeitversatz ist entweder absolut, das heiBt bezogen auf ein uber- 
geordnetes Zeitraster fur aile Steuergerate des Rechnersystems gleich groB, oder aber es handelt sich um einem 
relativen Zeitversatz, das heiBt es handelt sich um einen Zeitversatz einzelner Steuergerate relativ zueinander. in der 
Regel wird es sich um einen relativen Zeitversatz zwischen einem Master-Steuergerat und Slave-Steuergeraten des 

so Rechnersystems sowie zwischen den Slave-Steuergeraten untereinander handeln. 

[0012] In einem Rechnersystem, bei dem die Steuergerate uberunidirektionale Datenubertragungsmittel miteinander 
in Verbindung stehen, ist die fur die Datenubertragung erforderliche Zeit in etwa doppelt so groB wie bei einem Rech- 
nersystem mit bi-direktionalen Ubertragungsmitteln. Am Beispiel eines Rechnersystems mit zwei Steuergeraten soil der 
Zeitversatz verdeutiicht werden: Beide Steuergerate empfangen individuelle Sensorikdaten. AnschlieBend ubertragt das 

35 erste Steuergerat die von den Sensoren empfangenen Daten an das zweite Steuergerat. Dort stehen nun die von den 
Sensoren direkt empfangenen Sensorikdaten sowie die von dem ersten Steuergerat empfangen Sensorikdaten zur 
Verfugung, so dass bere'rts mit der anstehenden Zeitscheibe und der Abarbeitung des Computerprogramms begonnen 
werden kann. Nach dem Empfang der Sensorikdaten iibertragt das zweite Steuergerat seinerseits die von den Sensoren 
empfangen Sensorikdaten an das erste Steuergerat, wo nun mit einer Zeitverzogerung relativ zu dem ersten Steuergerat 

40 mit der anstehenden Zeitscheibe und der Abarbeitung des Computerprogramms begonnen werden kann. Es versteht 
sich, dass die von den beiden Steuergeraten berechneten Ergebnisse, beispielsweise Ansteuersignale fur Aktoren, 
zunachst in einem Zwischenspeicherzwischengespeichert werden mussen, um dann gemeinsam ausgelesen zu werden 
und die Aktoren zeitgleich damit zu beaufschlagen. 

[0013] Die Erfindung hat daruber hinaus den Vorteil, dass fur die Steuerung- und/oder Regelung von komplexen 
45 Betriebsablaufen, wie sie beispielsweise in Kraftfahrzeugen in zunehmendem MaBe vorliegen, Standard-Steuergerate 
mit weniger Eingangen als Sensorikdaten, die zur Verfugung stehen und zur Erfullung der Steuerungs- bzw. Regelungs- 
funktion zu verarbeiten sind, eingesetztwerden konnen. Durch die Verknupfung der Steuergerate zu dem Rechnersystem 
werden fur die einzelnen Steuergerate praktisch weitere zusatzliche Eingange emuliert. Durch den Einsatz von Standard- 
Steuergeraten kdnnen die Kosten auch fur die Steuerung und/oder Regelung auch von komplexen Betriebsablaufen 
50 niedrig gehalten werden. 

[001 4] Falls die Sensorikdaten jeweils nur an einem einzigen Steuergerat angelegt werden, kann durch die vorliegende 
Erfindung auch die Datenkonsistenz gewahrt und sichergestellt werden, dass alle Steuergerate des Rechnersystems 
tatsachlich die selben Daten zur Verfugung haben. Wurden die analogen Sensorikdaten an mehrere Steuergerate des 
Rechnersystems angelegt werden, konnten unterschiedliche Grenzen fur die in den Steuergeraten ausgefuhrten A/D- 
55 (Analog-Digital-) Wandlungen dazufuhren, dass in den Steuergeraten unterschiedliche digitale Wertefurdie Sensorik- 
daten vorliegen, wodurch eine Datenkonsistenz nicht mehr gegeben ware. Dies kann durch die vorliegende Erfindung 
verhindert werden, da jedes Sensorikdatum nurvon einem einzigen Steuergerat empfangen und dort A/D-gewandelt wird. 
[0015] GemaB einer vorteilhaften Weiterbildung dervorliegenden Erfindung wird vorgeschlagen, dass in den Steuer- 
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geraten die selben Sensorikdaten zurVerfugung stehen. Die Obertragung der Sensorikdaten zwischen den Steuerge- 
raten erfolgt also derart, dass nach der Obertragung der Sensorikdaten in alien Steuergeraten die selben Sensorikdaten 
vollstandig zurVerfugung stehen. Dabei haben gleiche Sensorikdaten in den verschiedenen Steuergeraten identische 
Werte. 

5 [0016] Die Tatsache, dass aile Steuergerate die gleichen Computerprogramme abarbeiten und anhand identischer 
Sensorikdaten diegleichen Berechnungenausfuhrenundbeifunktionsfahigen Steuergeratenbeziehungsweisefehlerfrei 
arbeitenden Computerprogrammen zu den gleichen Ergebnissen kommen mussten, kann fur eine Funktionsuberwa- 
chung von Hardware und/oder Software eingesetzt werden. Dies kann beispielsweise durch einen Vergleich der ermit- 
teften Ergebnisse oder durch eine Mehrheitsauswahl (n aus m Auswahl, wobei n < m) erfolgen. 

w [0017] GemaB einerbevorzugten Ausfuhrungsform der Erfindung wird vorgeschlagen, dass die Steuergerate jeweils 
nur einen Teil aller Sensorikdaten von Sensoren erhalten und die Steuergerate Sensorikdaten austauschen, so dass in 
jedem Steuergerat alle Sensorikdaten zur Verfugung stehen. Mit dieser Ausfuhrungsform werden fur die einzelnen 
Steuergerate praktisch weitere zusatzliche Eingange emuliert, so dass trotz des Einsatzes von Standard-Steuergeraten 
(mit einer beschrankten Anzahl an Eingangen furSensoriksignale) auch komplexe Betriebsablaufe (unterVerarbeitung 

is von mehrSensoriksignalen als ein einzelnes Steuergerat Eingange hat) gesteuert und/oder geregelt werden konnen. 
Dadurch konnen die Kosten auch fur die Steuerung und/oder Regelung auch von komplexen Betriebsablaufen niedrig 
gehalten werden. 

[0018] Vorteilhafterweise wird derZeitversatz in Abhangigkeitvon der fur den Austausch der Sensorikdaten zwischen 
den Steuergeraten benotigten Zeitdauereingestellt. DerZeitversatz, mitdem die Steuergerate die Computerprogramme 

20 abarbeiten, kann vor dem Betrieb des Rechnersystems vorab eingestellt werden. Vorzugsweise wird der Zeitversatz 
jedoch wahrend des Betriebs der Steuergerate, also wahrend der Laufzeit des Rechnersystems, eingestellt. 
[0019] GemaB einer anderen vorteilhaften Weiterbildung der vorliegenden Erfindung wird vorgeschlagen, dass der 
Zeitversatz in Abhangigkeit von der fur den Austausch der Sensorikdaten zwischen den Steuergeraten benotigten 
Zeitdauer geregelt wird. Mit Hilfe der Regelung wird sichergestellt, dass der Zeitversatz stets moglichst klein ist, und 

25 andererseits aber auch, dass der Zeitversatz nicht zu klein gewahlt wird, so dass mit der Abarbeitung der Computer- 
programme bereits begonnen wird, obwohl die Sensorikdaten noch nicht in alien Steuergeraten zur Verfugung stehen. 
[0020] GemaB einer weiteren Ausfuhrungsform wird vorgeschlagen, dass der Zeitversatz in Abhangigkeitvon der fur 
den Austausch der Sensorikdaten zwischen den Steuergeraten benotigten Zeitdauer gedampft eingestellt bzw. geregelt 
wird. Die Dampfung wird beispielsweise realisiert, indem derZeitversatz beziehungsweise eine Zeitscheibe erst dann 

30 verkiirzt wird, wenn sich mehrmals hintereinander gezeigt hat, dass der Zeitversatz eigentlich zu groB eingestellt ist und 
die Datenubertragung bereits deutlich vor Ablauf des Zeitversatzes abgeschlossen war. Nicht jede Veranderung der 
Obertragungsdauer fuhrt also sofort und unmittelbar zu einer Veranderung des Zeitversatzes. Durch diese MaBnahme 
wird praktisch der Jitter der Ubertragungsdauer gedampft. 

[0021] SchlieBlich wird vorgeschlagen, dass die Synchronisation der Steuergerate allein durch den Austausch von 
35 Nutzdaten fiber die Datenubertragungsmittel ohne die Obertragung gesonderter Synchronisationsinformationen ausge- 
fuhrt wird. Hierbei geht es insbesondere urn die Low-Level-Synchronisation. Dies ist ein sich selbst optimierender zeit- 
licher Versatz zwischen Master und Slaves (relativ zum Master). Demgegeniiber ist eine High-Level-Synchronisation 
die Synchronisation des Multiplexers zur Herstellung von Datenkonsistenz in den jeweiligen Rechenrastern (Master- 
MUX = Slave-MUX). GemaB des vorgeschlagenen Verfahrens ist es beispielsweise denkbar, dass in den Botschaften, 
40 die uber die Datenubertragungsmittel ubermittelt werden auBer den Nutzdaten auch ein Zeitscheibenzahler (TaskCoun- 
ter) als Schedulinginformation enthalten ist. 

[0022] Als eine andere Losung der Aufgabe der vorliegenden Erfindung wird ausgehend von dem Rechnersystem 
der eingangs genannten Art vorgeschlagen, dass die Steuergerate das gleiche Computerprogramm zeitsynchron mit 
einem durch Einstellmittel einstellbaren Zeitversatz abarbeiten. 

45 [0023] GemaB einer vorteilhaften Weiterbildung wird vorgeschlagen, dass eines der Steuergerate als Master-Steu- 
ergerat und die ubrigen Steuergerate als Slave-Steuergerate definiert sind, wobei das Master-Steuergerat Synchroni- 
sationsinformationen an die Slave-Steuergerate ubermittelt. Die Obertragung der Synchronisationsinformationen erfolgt 
vorzugsweise ebenfalls uber die Datenubertragungsmittel. Das Master-Steuergerat gibt ein festes zeitsynchrones Zeitra- 
ster vor, nach dem sich die Slave-Steuergerate richten mussen. Die an sich gleichen Computerprogramme fur Master- 

50 Steuergerat und Slave-Steuergerat werden lediglich durch ein Steuergerate-Kodierpin im Kabelbaum auf den Betrieb 
im Master oder im Slave eingestellt. 

[0024] GemaB einer bevorzugten Ausfuhrungsform der Erfindung wird vorgeschlagen, dass sich die Slave-Steuerge- 
rate nach dem Hochfahren des Rechnersystems automatisch auf die Zeitbasis des Master-Steuergerats aufsynchroni- 
sieren. Das bedeutet, dass einige Zeit (z.B. 10 ms) nach dem Hochfahren des Rechnersystems (Neustart z.B. nach 
55 dem Einschalten des Systems oder nach dem Auftreten eines Fehlers), nachdem der Synchronisationsprozess abge- 
schlossen ist, in den Slaves zeitsynchron die gleichen Zeitscheiben gestartet werden wie in dem Master. Allerdings kann 
in den einzelnen Steuergeraten ein unterschiedlicher Zeitversatz eingestellt sein, so dass die Steuergerate zu unter- 
schiedlichen Zeitpunkten mit der Abarbeitung der Computerprogramm beginnen konnen, obwohl sie zeitsynchron ar- 
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beiten. Die Ubertragung der fur die Synchronisation erforderlichen informationen erfolgt uber die Datenubertragungs- 
mittel. 

[0025] Der zeitsynchronen Abarbeitung der Computerprogramme kann ein winkelsynchrones Zeitraster uberlagert 
sein, durch das beispielsweise sichergestellt werden kann, dass von dem Drehwinkel der Kurbelwelle abhangige Be- 

5 rechnungen unabhangig von dem zeitsynchronen Zeitraster auf jeden Fall rechtzeitig ausgefuhrt werden konnen. Das 
winkelsynchrone Zeitraster kann beispielsweise mittels Interrupt-Befehlen realisiert werden. Botschaften, die im winkel- 
synchronen Zeitraster uber die Datenubertragungsmittel ubertragen werden haben eine besonders hohe Prioritat. 
[0026] Es wird vorgeschlagen, dass an die Steuergerate jeweils nur ein Teil der Sensoren angeschlossen ist, dass 
die Steuergerate jeweils nur einen Teil aller Sensorikdaten erhalten und dass die Steuergerate uber das Datenubertra- 

10 gungsmedium Sensorikdaten austauschen, so dass in jedem Steuergerat alle Sensorikdaten zur Verfugung stehen. 
[0027] Vorzugsweise sind in den einzelnen Steuergeraten Mittel vorgesehen, um mit der zeitsynchronen Abarbeitung 
der Computerprogramme unter Zugriff auf die Sensorikdaten so lange zu warten, bis in jedem Steuergerat alle aktuellen 
Sensorikdaten zur Verfugung stehen. Dies mussen nicht unbedingt die zuletzt eingelesenen Sensorikdaten sein, son- 
deren konnen auch die Daten einer vorangegangenen Zeitscheibe sein. Wichtig istjedoch, dass alle zur Verfugung 

15 stehenden Sensorikdaten gleich alt sind, das heiBt aus der gleichen Zeitscheibe stammen. Wenn die Daten aus einer 
vergangenen Zeitscheibe stammen, ist die Datenverarbeitung durch die Computerprogramme etwas zeitverzogert. Dies 
fuhrt in der Praxis jedoch zu keinerlei Nachteilen, da es sich in der Regel nur um wenige Millisekunden Verzogerung 
handelt. Die Stability von Regelungen ist trotz der geringen Zeitverzogerung gewahrleistet. 
[0028] GemaB einer anderen vorteilhaften Weiterbildung der Erfindung wird vorgeschlagen, dass jedes Steuergerat 

20 unterteilt ist in eine Hardware-Ebene, eine Hardwaretreiber-Ebene und eine Anwendungssoftware-Ebene, wobei das 
Computerprogramm zur Steuerung von Betriebsablaufen in der Anwendungssoftware-Ebene ablauft und die Ubertra- 
gung der Sensorikdaten unabhangig von der Anwendungssoftware-Ebene in der Hardwaretreiber-Ebene ablauft. Die 
vorliegende Erfindung betrifft also im wesentlichen die Hardwaretreiber-Ebene, in der das Senden und Empfangen uber 
die Datenubertragungsmittel sowie das Zwischenspeichern der Sensorikdaten in den Steuergeraten implementiert ist. 

25 Die Anwendungssoftware greift nur auf die Zwischengespeicherten Sensorikdaten zu, unabhangig davon, ob es sich 
um unmittelbar von Sensoren empfangene Sensorikdaten oder um mittelbar von anderen Steuergeraten uber die Da- 
tenubertragungsmittel empfangene Sensorikdaten handelt. Auch das Einstellen bzw. Regeln des Zeitversatzes ist in 
der Hardwaretreiber-Ebene implementiert. 

[0029] Im Gegensatz dazu war es bei bisherigen Mehrrechner-Konzepten ublich, die einzelnen Steuergerate des 
30 Rechnersystems auf der Funktionsebene miteinander zu vernetzen, das heiBt die Master Slave Datenbus Kopplung 
war auf der Funktionsebene. Das fuhrte dazu, dass die Datenbus-Auslegung stark abhangig von der Basisfunktionalitat 
des Systems war. Bei einer Anderung der Anwendungssoftware musste das Datenbus-Layoutimmerangepasst werden. 
Das kann mit der vorliegenden Erfindung verhindert werden. Selbst bei einer Anderung der Basisfunktionalitat kann ein 
stabiles Datenbus-Layout sichergestellt werden. 
35 [0030] GemaB einer weiteren bevorzugten Ausfuhrungsform wird vorgeschlagen, dass die Sensoren den Steuerge- 
raten derart zugeordnet und an den ihnen jeweils zugeordneten Steuergeraten angeschlossen sind, dass sich wahrend 
des Betriebs des Rechnersystems auf dem Datenubertragungsmedium in beide Ubertragungsrichtungen eine im zeit- 
lichen Mittel im wesentlichen gleichmaBige Auslastung ergibt. Naturlich wird dieses Merkmal mit zunehmender Anzahl 
an Steuergeraten schwierigerzu realisieren sein. Bei der Auslegung des Rechnersystems wird jedoch darauf geachtet, 
40 dass die Steuergerate in etwa gleich oft Sensorikdaten senden wie sie Sensorikdaten empfangen. Wird dies nicht 
beachtet, kann dies zu langeren Ubertragungszeiten fur die Sensorikdaten und zu einem la ngeren Zeitverzug fuhren 
als eigentlich erforderlich ware. 

[0031] Die Datenubertragung uber das Datenubertragungsmedium kann beliebigen Protokollen erfolgen. Denkbarist 
beispielsweise der Einsatz des FireWire-, des ByteFlight-, des FlexRay-, des TTP (Time Triggered Protocol) oder des 
45 LIN (Local Interconnect Network)-Protokolls. Vorteilhafterweise erfolgt die Datenubertragung jedoch uber das Daten- 
ubertragungsmedium nach dem CAN (Controller Area Network)-Protokoll. 

Zeichnungen 

50 [0032] Weitere Merkmale, AnwendungsmS glichkeiten und Vorteile der Erfindung ergeben sich aus der nachfolgenden 
Beschreibung von Ausfuhrungsbeispielen der Erfindung, die in derZeichnung dargestellt sind. Dabei bilden alle be- 
schriebenen oder dargestellten Merkmale fur sich oder in beliebiger Kombination den Gegenstand der Erfindung, un- 
abhangig von ihrer Zusammenfassung in den Patentanspruchen oder deren Ruckbeziehung sowie unabhangig von 
ihrer Formulierung bzw. Darstellung in der Beschreibung bzw. in der Zeichnung. Es zeigen: 

55 

Figur 1 ein erfindungsgemaBes Rechnersystem umfassend zwei uber einen Datenbus miteinander vernetzte Steu- 
ergerate gemSB einer bevorzugten Ausfuhrungsform; 
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Figur2 verschiedene gedankliche Steuergerate-Ebenen eines Steuergerats gemaB dervorliegenden Erfindung; 

Figur 3 ein Systembild eines erfindungsgemaBen Rechnersystems mit der eingesetzten Sensorik und Aktorik gemaB 
einer ersten bevorzugten Ausfuhrungsform; 

Figur 4 einen Zustandsautomat zur Synchronisierung derZeitscheiben in einem Slave-Steuergerat des erfindungs- 
gemaBen Rechnersystems; 

Figur 5 ein erfindungsgemaBes Rechnersystem zur Verdeutlichung der Botschafts- und Signalspeicherung; 

Figur 6 ein Systembild eines erfindungsgemaBen Rechnersystems mit der eingesetzten Sensorik und Aktorik gemaB 
einer zweiten bevorzugten Ausfuhrungsform; 

Figur 7 Diagramm mit der Aufteilung und Abarbeitung derZeitscheiben in einem erfindungsgemaBen Rechnersystem; 
und 

Figur 8 Signalverlaufe in einem erfindungsgemaBen Rechnersystem zur Verdeutlichung des Datenaustauschs zwi- 
schen Master und Slave des Rechnersystems. 

Beschreibung der Ausfuhrungsbeispiele 

[0033] Als ein bevorzugtes Ausfuhrungsbeispiel dervorliegenden Erfindung wird nachfolgend auf die Steuerung einer 
relativ komplexen Brennkraftmaschine eines Kraftfahrzeugs mitzehn Zylindern Bezug genommen. Die Erfindung lasst 
sich jedoch auch zur Steuerung und/oder Regelung beliebig anderer komplexer Betriebsablaufe, vorzugsweise in einem 
Kraftfahrzeug, einsetzen. 

[0034] Wie in Rgur 1 dargestellt, wird zur Steuerung und/oder Regelung der komplexen Betriebsablaufe in der Brenn- 
kraftmaschine 1 ein Mehrrechnersystem umfassend zwei Steuergerate 2, 3, die mittels eines als Bussystem 4 ausge- 
bildeten Datenubertragungsmittels miteinanderin Verbindung stehen, eingesetzt. Die Datenubertragung iiberdas Bus- 
system 4 erfolgt nach dem CAN (Controller Area Network)-Protokoll. 

[0035] Eines der Steuergerate 2 ist als Master-Steuergerat und das andere Steuergerat 3 als Slave-Steuergerat 
definiert. Das Master-Steuergerat 2 ubermittelt Synchronisationsinformationen an das Slave-Steuergerat. Die Ubertra- 
gung der Synchronisationsinformationen erfolgt in Form von CAN-Botschaften uber das Bussystem 4. Das Master- 
Steuergerat 2 gibt ein festes zeitsynchrones Zeitraster vor, nach dem sich das Slave-Steuergerat 3 richten muss. 
[0036] Auf beiden Steuergeraten 2, 3 laufen die gleichen Computerprogramme zur Erfullung der bestimmungsgema- 
Ben Steuerungs- und/oder Regelungsfunktionen ab. Die Computerprogramme der beiden Steuergerate 2, 3 verarbeiten 
im wesentlichen die selben Eingangssignale, die im wesentlichen aus Sensorikdaten S1 bis S10 sowie Sa bis Sc und 
Sx bis Sz bestehen. Die Sensorikdaten S1 bis S10 stammen von Sensoren, die in den zehn Zylindern Z1 bis Z10 der 
Brennkraftmaschine 1 angeordnetsind. Die Sensorikdaten Sa bis Sc sowie Sx bis Sz stammen von anderen Sensoren, 
die in Oder an der Brennkraftmaschine 1 oder an anderen Stellen in dem Kraftfahrzeug angeordnet sein konnen. 
[0037] Da jedes Steuergerat 2, 3 nur eine begrenzte Anzahl an Eingangen zum Anschluss von Sensoren aufweist, 
wird bei dem erfindungsgemaBen Rechnersystem ein Teil der Sensoren an das eine Steuergerat 2 und der andere Teil 
der Sensoren an das andere Steuergerat 3 angeschlossen. Damit beiden Steuergeraten 2, 3 die selben Sensorikdaten 
S1 bis S10, Sa bis Sc, Sx bis Sz zur Abarbeitung der Computerprogramme zur Verfugung stehen, werden die einge- 
gangenen Sensorikdaten zwischen den Steuergeraten 2, 3 uber das Bussystem 4 zwischen den Steuergeraten 2, 3 
ausgetauscht. 

[0038] Wie in Figur 2 dargestellt, konnen die Steuergerate 2, 3 gedanklich unterteilt werden in eine Hardware-Ebene 
5, eine Hardwaretreiber-Ebene 6 und eine Anwendungssoftware-Ebene 7. In der Hardware-Ebene 5 sind die Steuer- 
gerate 2, 3 an das Bussystem 4 angeschlossen. Die Computerprogramme zur Steuerung der Brennkraftmaschine 1 
laufen in der Anwendungssoftware-Ebene 7 der Steuergerate 2, 3 ab. Die Ubertragung der Sensorikdaten S1 bis S10, 
Sa bis Sc, Sx bis Sz tiber den Datenbus 4 lauft unabhangig von der Anwendungssoftware-Ebene 7 ab und wird in der 
Hardwaretreiber-Ebene 6 koordiniert. Die Computerprogramme merken also nicht, ob die von ihnen verarbeiteten Sen- 
sorikdaten S1 bis S10, Sa bis Sc, Sx bis Sz unmittelbar von einem Sensor oder mittelbar uber das Bussystem 4 von 
einem anderen Steuergerat 2, 3 empfangen wurden. Mit anderen Worten, werden in den Steuergeraten 2, 3 also erfin- 
dungsgemaB zusatzliche Eingange fur Sensorikdaten emuliert, die an den Steuergeraten 2, 3 hardwaremaBig nicht 
vorhanden sind. Bei dem in Rgur 2 beispielhaft dargestellten Steuergerat 2 sind Eingange fur die Sensorikdaten S1 bis 
S5 und Sa bis Sc hardwaremaBig vorhanden, wohingegen die Sensorikdaten S6 bis S10 und Sx bis Sz Qber den 
Datenbus 4 empfangen werden, das heiBt die Eingange fur diese Sensorikdaten S6 bis S10 und Sx bis Sz emuliert 
werden. Dadurch kann auch fur Steuerungs- und/oder Regelungsaufgaben von sehr komplexen Betriebsablaufen, bei 
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denen eine Vielzahl von Sensorikdaten verarbeitet werden mussen, Rechnersystem umfassend mehrere einfach auf- 
gebaute und kostengunstige Standard-Steuergerate, die uber Datenubertragungsmitte! miteinander vernetzt sind, ein- 
gesetzt werden. AuGerdem kann die gleiche Steuergerate-Hardware als Master- und als Slave-Steuergerat eingesetzt 
werden. 

5 [0039] Wenn die verschiedenen Sensorikdaten S1 bis S10, Sa bis Sc, Sx bis Sz jeweils nur einmal an eines der 
Steuergerate 2, 3 gefuhrt werden, hat das erfindungsgemaGe Konzept einen weiteren Vorteil. Dieser besteht darin, dass 
die Datenkonsistenz gewahrt und sichergestellt werden kann, dass alle Steuergerate 2, 3 des Rechnersystemstatsach- 
lich die selben Daten zur Verfugung haben. Wurden die analogen Sensorikdaten S1 bis S10, Sa bis Sc, Sx bis Sz an 
mehrere Steuergerate 2, 3 des Rechnersystems parallel angelegt werden, konnten unterschiedliche Grenzen fur die in 

10 den Steuergeraten 2, 3 ausgefuhrten A/D- (Analog-Digital-) Wandlungen dazu fuhren, dass in den Steuergeraten 2, 3 
unterschiedliche digitale Werte fur die Sensorikdaten vorliegen, wodurch eine Datenkonsistenz nicht mehr gegeben ware. 
[0040] Der Austausch der Sensorikdaten S1 bis S10, Sa bis Sc, Sx bis Sz unter den Steuergeraten 2, 3 uber den 
Datenbus 4 benotigt Zeit. Um sicherzustellen, dass in den Steuergeraten zu den jeweiligen Zeitscheiben stets alle 
benotigten aktuellen Sensorikdaten zur Verfugung stehen, erfolgt der Start der Zeitscheiben in den Steuergeraten 2, 3 

is mit einem einstellbaren Zeitversatz. Der Zeitversatz, mit dem eine Zeitscheibe in einem Steuergerat 2, 3 gestartet wird, 
hangt von der benotigten Ubertragungsdauer der Sensorikdaten uber das Bussystem 4 ab. Der Start der Zeitscheiben 
in einem Steuergerat 3 weist einen Zeitversatz relativ zum Start der Zeitscheiben in dem anderen Steuergerat 2 auf. 
[0041] In den Steuergeraten 2, 3 laufen die gleichen Computerprogramme zur ErfQIIung der bestimmungsgemaBen 
Steuerungs- bzw. Regelungsfunktionen ab, das heiBt es werden die gleichen Eingangssignale (zum Beispiel von den 

20 Sensoren) verarbeitet und die gleichen Ausgangssignale (zum Beispiel zur Ansteuerung von Aktoren) ermittelt. Bei dem 
in Figur 1 dargestellten Ausfuhrungsbeispiel werden von dem Steuergerat 2 jedoch nur die fur Aktoren der Zylinder Z1 
bis Z5 bestimmten Ausgangssignale an Endstufen fur diese Aktoren geleitet (gestricheite Linie), wohingegen die Aus- 
gangssignale fur die Zylinder Z6 bis Z1 0 ungenutzt bleiben. Ebenso werden von dem Steuergerat 3 nur die fur Aktoren 
der Zylinder Z6 bis Z10 bestimmten Ausgangssignale an Endstufen fur diese Aktoren geleitet (gestricheite Linie), wo- 

25 hingegen die Ausgangssignale fur die Zylinder Z1 bis Z5 ungenutzt bleiben. 

[0042] Das erfindungsgemaGe Master Slave System fur das Motor Steuergerat Konzept ist ausgelegt fur mehrere 
Steuergerate 2, 3, vernetzt uber einen CAN Bus 4. Figur 3 zeigt ein Systembild mit der eingesetzten Sensorik und 
Aktorik, die identisch ist mit der bei einem zweiten Konzept (vergleiche Figur 6) eingesetzten Sensorik und Aktorik. Bei 
dem in Figur 3 dargestellten ersten erfindungsgemaBen Konzept sind Master-Steuergerat 2 und Slave-Steuergerat 3 

30 baugleich ausgebildet. Die eingesetzte Software ist bei beiden Steuergeraten 2, 3 identisch. AuBerdem sind beide 
Steuergerate 2, 3 funktional nahezu identisch. Sie erfullen beide die nachfolgend beispielhaft aufgefiihrten Funktionen: 

Bezugszeichen 8: 

35 - Signaleingange 

Sensorauswertung 

- Signalverarbeitung 

- Atmospharendruckfuhler (ADF), nur Master-Steuergerat 2 

40 Bezugszeichen 9: 

Startmoment 
Leerlaufregelung 

- Momentenregelung und -begrenzung 
45 - Extemer Momenteneingriff 

Laufruheregler 

Aktiver Ruckeldampfer 

Forderbeginn- und Fdrderdauerberechnung 

- Forderbeginnkorrektur (Begin of Injection Period (BIP), Einspritzbeginn) 
50 - Ladedruckregelung 

- Abgasruckfuhrung und Drosselklappenansteuerung 
Abgasnachbehandlung 

Ansteuerung Kraftstoffkuhlung 

- Fahrgeschwindigkeitsregler (FGR) oder Geschwindigkeitsregelanlage (GRA) 
55 - Motorlagersteuerung 

Klimakompressoransteuerung 

Gluhzeitsteuerung 

Wegfahrsperre 
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Ersatzfunktionen 

Abgleich 

Nachlauf 

5 Bezugszeichen 10: 

M ag n etve nti I e n dst uf e n 

Bezugszeichen 1 1 : 

10 

Leistungsendstufen 
Bezugszeichen 12: 

15 - Diagnose 

- Serielle Schnittstelle (nur Master-Steuergerat 2) 

- Winkeluhr-Kopplung (nur Slave-Steuergerat 3) 
CAN-Kommunikation 

20 [0043] Die nachfolgend beispielhaft aufgefuhrten Sensoren liefern Sensorikdaten an das Master-Steuergerat 2: 

- 13.1:Motordrehzahl{KW) 

13.2: Motordrehzahl (NW, Nockenwelle) und Zylindererkennung 

13.3: Pedalwertgeber (PWG) mit Leergasschalter und Kick-Down (optional 2. PWG) 
25 - 13.4: Ladedruck 

13.5: Lufttemperatur 

13.6: Kraftstofftemperatur 

13.7: Oltemperatur 

13.8: Wassertemperatur 1/2 
30 - 13.9: Abgastemperatur 1/2 

- 13.10: Luftmasse 

13.11: Fahrgeschwindigkeit 

- 13.12: GRA-Bedienteil (Tempomat-Bedienteil) 
13.13: Bremse (2) 

35 - 13.14: Kupplung 

- 13.15: Klemme50 

- 13.16: Gluhstiftkerzen (GSK) Ruckmeldung 
13.17: Crashsensor 

13.18: Tankleerschalter 
40 - 1 3. 1 9: Tankdeckel often 

13.20: Anforderung Zuheizer 
1 3.21 : Zuheizer Verbrauchssignal 
13.22: Heizungsanforderung 

- 13.23: Raps-Methyl-Sensor 

45 - 13.24: Partikelfilter Differenzdruck 
13.25: Lambdasonde 
13.26: Generatorlast 
13.27: Klimasteuerung 

so [0044] Die nachfolgend beispielhaft aufgefuhrten Sensoren liefern Sensorikdaten an das Slave-Steuergerat 3: 

14.4: Ladedruck 
14.5: Lufttemperatur 
14.6: Kraftstofftemperatur 
55 - 14.9: Abgastemperatur 1/2 
14.10: Luftmasse 

14.16: Gluhstiftkerzen (GSK) Ruckmeldung 
14.24: Partikelfilter Differenzdruck 
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14.25: Lambdasonde 

[0045] Die Sensorikdaten 15 (Klemme 15) liegen an beiden Steuergeraten 2, 3 an. 

[0046] Uber die Magnetventilendstufen 1 0 steuern die Steuergerate 2, 3 den Forderbeginn und/oder die Forderdauer 
der Kraftstoffeinspritzventile 16. Diese sind beispielsweise als Pumpe-Duse-Einheiten (PDE) Oder afs Common-Rail- 
Injektoren ausgebildet. Wie bereits oben erwahnt, steuertdas Steuergerat 2 die Kraftstoffeinspritzventile 16 derZylinder 
Z1 bis Z5 an, wohingegen das Steuergerat 3 die der Zylinder Z6 bis Z10 ansteuert. Das hat den Vorteil, dass pro 
Steuergerat 2, 3 nicht aile sondern lediglich funf Magnetventilendstufen betrieben werden miissen. Dadurch kann die 
durch die Endstufen erzeugte Abwarme in den Steuergeraten 2, 3 reduziert werden. 

[0047] Uber die Leistungsendstufen 11 steuertdas Steuergerat2Aktorenfurdienachfolgendbeispielhaftaufgefuhrten 
Funktionen an: 

16.1: Motorlager 

1 6.2: Tankabschaltventil 

1 6.3: Startersteuerung Vz 

16.4: Generatorabschaltung 

16.5: Klimaanlagenanforderung 

16.6: Kuhlerventilator 

16.7: Kuhlerthermostatsteuerung 

- 16.8:Kraftstoffkuhlung 

1 6.9: Kraftstoffpumpenrelais 
16.10: Luftersteuerung 

- 16.11: Gluhrelais 

16.12: Elektrische KGhlwasserpumpe 
16.13: Katalysator-Heizung 
16.14: Additiv Dosierpumpe 

- 16.15: Zusatzheizrelais 1/2 
16.16: Zuheizer Brennersteuerung 
16.17: Drosselklappensteller 
16.18: Abgasruckfuhrsteller 
16.19: Abgasruckfuhrkuhlung 
16.20: Ladedrucksteller 

- 1 6.21 : Gluhstiftkerzen Steuergerat 

[0048] Uber die Leistungsendstufen 11 steuertdas Steuergerat3Aktorenfurdienachfolgendbeispielhaftaufgefuhrten 
Funktionen an: 

17.11: Gluhrelais 

- 17.13: Katalysator-Heizung 
17.17: Drosselklappensteller 
17.18: Abgasruckfuhrsteller 

1 7. 1 9: Abgasruckfuhrkuhlung 
17.20: Ladedrucksteller 

- 17.21: Gluhstiftkerzen Steuergerat 

[0049] Uber einen CAN-Datenbus 4 werden dem Master-Steuergerat 2 Daten von elnem Steuergerat (SG) einer 
Antriebs-SchlupfRegelung (ASR)/ Motor Schlepp-Regelung (MSR) 18.1 sowie von einem Steuergerat eines Getriebes 
18.2 zugeftihrt. 

[0050] Von dem Steuergerat 2 werden des weiteren an die nachfolgend beispielhaft angefuhrten Einheiten Signale 
ausgegeben: 

19.1: Diagnoseschnittstelle (ISO K) m'rt Schaltelement zum Auslosen einer Diagnoseanforderung 
19.2: Systemlampe 

- 19.3: MIL-Lampe (Malfunction Indication Lamp, Fehlerlampe fur Onboard Diagnosis) 
19.4: Drehzahlkopplung 

19.5: Drehzahlanzeige (Drehzahlsignal) 
19.6: Verbrauchsanzeige (Verbrauchssignal) 
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[0051] Bei dem Steuergerat 3 ist eine entsprechende Diagnoseschnittstelle (ISO K) 20.1 mit Schaltelement zum 
Auslosen einer Dlagnoseanforderung vorgesehen. 

[0052] Des weiteren sind Datenbusse 4 fur einen Datenaustausch 21 zwischen den Steuergeraten 2, 3 vorgesehen. 
Der Datenaustausch beschrankt sich auf Sensorsignalrohwerte, Digitalsignale, Fehlerstati, Reglerwerte und Ansteuer- 
stati. Es werden ausgetauscht insbesondere: 

digitale Sensorikdaten (nach der A/D-Wandlung dervon den Sensoren 1 3, 1 4 an die Steuergerate 2, 3 herangef uhrten 
analogen Sensorikdaten) 
Reglerabgleich-lnformationen 
- Ansteuerstatus-lnformationen 

Programmsynchronisationsinfomnationen. 

[0053] Ein Hauptrelais des Kraftfahrzeugs ist in Figur3 mit dem Bezugszeichen 22 bezeichnet, die Kraftfahrzeug- 
Batterie mit 23. 

[0054] Die Sensorik 13, 14 ist groBtenteils am Master-Steuergerat 2 angeschlossen. Durch das komplett zweiflutige 
Luft- und Abgassystem der Brennkraftmaschine 1 sind die Signale wie Luftmasse 13.10, 14.10, Lufttemperatur 13.5, 
14.5, Ladedruck 13.4, 14.4, Abgastemperatur 13.9, 14.9, usw. an dem Master 2 und dem Slave 3 getrennt vorhanden. 
Gleichzeitig werden aber auch diese doppelten Signale untereinander konsistent ausgetauscht, so dass jedes Steuer- 
gerat auch Zugriff auf die Eingangsdaten des jeweils anderen Luftstrangs hat. Beim Datenaustausch der doppelten 
Sensorik wurde auBerdem ein Mechanismus entwickelt, mit dem ein Steuergerat 2, 3 auf zum Beispiel die Luftmasse 
zugreift und automatisch die von dem unmittelbar an dem Steuergerat 2, 3 angeschlossenen Sensor 13.10, 14.10 
gemessene Luftmasse erhalt. Uber den Zugriff auf die "externe Luftmasse" wird automatisch auf die Luftmasse des 
anderen Steuergerats 2, 3 zugegriffen, die das Steuergerat mittelbar uber den Datenbus 4 erhalt. So konnen synchron 
Ersatzreaktionen bei Fehlern eingeleitet werden. Manche Sensoren 13, 14, zum Beispiel Gluhstiftkerzen 13.16, 14.16, 
werden nur lokal in jedem Steuergerat 2, 3 erfasst und nicht ausgetauscht, da sie fur das Gesamtsystem von unterge- 
ordneter Bedeutung sind. 

[0055] Die zeitsynchronen Berechnungen werden in dem Master-Steuergerat 2 gestartet. Dieses erfasst die entspre- 
chenden Sensorikdaten und ubertragt einen Teil dieser Sensorikrohdaten an das Slave-Steuergerat 3, verwendetfur 
die anstehende Berechnung aus Datenkonsistenzgrunden aber die Sensorikdaten der vorangegangenen bereits abge- 
glichenen Zeitscheibe. Wegen der groBen Datenmenge konnen nicht alle Signale auf einmal ubertragen werden. Die 
Ubertragung erfolgt paketweise (beispielsweise immer funf oder sechs CAN-Botschaften) alle 1 0 ms vom Master 2 zum 
SJave 3 und umgekehrt. Selbstverstandlich kann auch ein beliebig anderes Zeitrasterverwendet werden. 
[0056] Ist ein Datenpaket komplett an den Slave 3 ubertragen worden, erkennt dies ein Zustandsautomat und starlet 
die gleiche Zeitscheibe wie im Master 2. Der Zustandsautomat dient zur Synchronisierung der Zeitscheiben im Slave 3 
und ist in Figur 4 dargestellt. Die Informationen, welche Zeitscheibe gerade gerechnet wird, ist in jedem CAN-Ubertra- 
gungspaket enthalten. Die empfangenen Daten werden in einem Zwischenspeicher, dem sogenannten ShadowBuffer 
(vergleiche Bezugszeichen 51 in Figur 5), zwischengespeichert, die aktuelle Zeitscheibe rechnet mit den identischen 
Daten wie der Master 2, gespeichert in einem sogenannten RamMirror. Grund fur die-Zwischenspeicherung ist Daten- 
konsistenz innerhalb der Zeitscheiben und die relativ groBe Datenmenge einer Zeitscheibe. ist eine Zeitscheibe komplett 
zu Ende gerechnet, muss der Datenaustausch fur die nachste Zeitscheibe abgeschlossen sein, bevor diese gestartet 
wird. Durch diesen Zeitaufwand fur den konsistenten Datenaustausch wird eine Totzeit in dem System eingebaut, die 
messbar ist. Die Signale sind alle urn eine Zeitscheibe verzogert, aber absolut identisch im System. 
[0057] Bei dem in Figur4 dargestellten Zustandsautomat zur Synchronisierung der Zeitscheiben im Slave 3 wird nach 
einem Neustart des Rechnersystems (zum Beispiel nach dem Einschalten oder nach einem Fehler) in einem ersten 
Zustand 30 (Initialisierung) begonnen. Von dort wird in einen Zustand 31 (Periode abgelaufen, warte auf CAN) iiberge- 
gangen. Wenn die Wartezeit abgelaufen ist ohne dass Daten von dem Datenbus 4 empfangen wurden (Bedingung 32), 
wird in einen Zustand 33 (Zwangsscheduling) ubergegangen. Dann wird in einem Schritt34 eine Sperrzeit definiert, und 
in einen Zustand 35 ubergegangen, wo keine Daten vom Datenbus 4 gelesen werden. Der Schritt 34 kann beispielsweise 
realisiert werden durch: 

Entprellzahler — 

if Entprellzahler = 0 

{Periode = verlangert 
Entprellzahler nachladen 
} else 

{Periode = normal} 
Sperrzeit = Periode - Wartezeit 
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[0058] Alternativ kann die Sperrzeit auch als Summe aus Periode und Wartezeit berechnet werden. Wahrend der 
Sperrzeit werden keine Daten vom Datenbus 4 empfangen. SchlieBlich wird wieder in den Zustand 31 (Periode abge- 
laufen, warte auf CAN) ubergegangen, sobald die Sperrzeit abgelaufen ist (Bedingung 36). Durch die Sperrzeit wird 
gewissermaBen ein blindes Fenster definiert und durch Verkurzen oder Verlangern der Zeitscheiben so lange durch 
das Zeitrastergeschoben, bis das Zeitraster des Slaves 3 mit dem Zeitrasterdes Masters 2 ubereinstimmt und in Master 
2 und Slave 3 die gleichen Zeitscheiben zeitsynchron (allerdings durchaus mit dem oben angesprochenen Zeitversatz) 
abgearbeitet werden. Die Sperrzeit (das blinde Fenster) dient der Verbesserung der Storsicherheit der Synchronisierung 
der Steuergerate 2, 3. Wahrend der Sperrzeit diirfen keine Daten uber den Bus 4 kommen. Damit wird ein unnotiges 
Verkurzen der Zeitscheibe verhindert. 

[0059] Wenn in dem Zustand 31 wahrend der Wartezeit Daten von dem Datenbus 4 empfangen werden (Bedingung 
37, CAN-Object, newData), wird in einen Zustand 38 (Schedule starten) ubergegangen. Von dort kann in einem Schritt 
39 in einen Zustand 40 (Schedule gesperrt) ubergegangen werden. Der Schritt 39 kann beispielsweise realisiert werden 
durch: 

if Entprellzaher = 0 
{Periode = verkurzt 

Sperrzeit = Sperrzeit fur verkurzte Periode 
Entprellzahler = Entprellzahler fur verkurzen 
} else 

{Periode = normal 
Sperrzeit = Sperrzeit fur normale Periode} 

[0060] In dem Zustand 40 wird gewissermaBen ein blindes Fenster definiert, falls ein Fehler auftritt. Es wird eine 
Entscheidung getroffen, ob die Periode verkurzt wird. Falls eine Bedingung 41 (Sperrzeit abgelaufen, CAN aktuell und 
Entprellzahler --) erfullt Ist, wird in eine Zustand 42 (CAN aktuell, warten auf Perioden Ende) ubergegangen. In dem 
Zustand 42 beobachtet der Slave 3 den Datenbus 4 aber scheduled nicht, sondern merktsich, falls eine CAN-Botschaft 
fruher (das heifBt vor Ablauf der Zeitverzogerung) vollstandig empfangen wurde. Falls die Periode abgelaufen ist (Be- 
dingung 43), geht der Slave 3 wieder in den Zustand 38 uber. Falls in dem Zustand 42 noch nicht alle Botschaften 
empfangen wurden, da die Periode zu weit verkurzt wurde (Bedingung 44, Periode abgelaufen, CAN alt, Entprellzahler 
= Entprellzahler fur Verlangern), wird wieder in den Zustand 31 gewechselt. Falls eine Bedingung 45 (Sperrzeit abge- 
laufen, CAN alt und Entprellzahler = Entprellzahler fur Verkurzen) erfullt ist, wechseft der Slave 3 in einen Zustand 46 
(Warten auf Periode Ende), wo die Periode verkurzt wird. Falls alle Botschaften empfangen wurden (Bedingung 47, 
Periode abgelaufen, CAN aktuell, Entprellzahler = Entprellzahlerfur Verkurzen), geht der Slave 3 wieder in den Zustand 
38 liber. Falls noch nicht alle Botschaften empfangen wurden, da die Periode zu weit verkurzt wurde (Bedingung 48, 
Periode abgelaufen, CAN alt, Entprellzahler = Entprellzahler furVerlangern), wird wiederin den Zustand31 gewechselt. 
[0061] Zusammenfassend kann zu dem Zustandsautomat aus Figur 4 also gesagt werden: Das Master-Steuergerat 
2 gibt das Zeitraster vor, das heiBt es sagt, die wievielte Zeitscheibe von dem Slave-Steuergerat 3 gestartet werden 
soil. Falls die Nummern der zur Abarbeitung anstehenden Zeitscheiben von Master 2 und Slave 3 unterschiedlich sind, 
werden die Zeitscheiben des Slave 3 mehr oder weniger verkurzt oder verlangert und das Rechnersystem mit unter- 
schiedlich langen Zeitscheiben betrieben, bis die Nummern der Zeitscheiben von Master 2 und Slave 3 identisch sind. 
[0062] Zum Datenabgleich wahrend der Initialisierung zwischen Master 2 und Slave 3 wird eine besondere Strategie 
eingesetzt. Wahrend der Initialisierung werden Analogwertegemessen.MitdiesenWerten wird ein PT1 -Filter initialisiert. 
Bei einem Master-Slave-Rechensystem ergibt sich das Problem, dass die Komponententreiber (Component Drivers, 
CD) auf in dem Schreib-Lese-Speicher (RAM Mirror) gepufferte Werte zugreifen. Dieser Schreib-Lese-Speicher enthalt 
wahrend der Initialisierung noch keine giiltigen Werte. Som'rt wird das PT1 -Filter falsch initialisiert. 
[0063] Deshalb wird zur Signalerfassung wahrend der Initialisierung folgende Strategie eingesetzt: 

a) Wahrend der Initialisierungs-Routine wird ein Requestbit im Statusregisterfur alle in DataSets enthaftenen Signale 
gesetzt. Somit erfolgt auf jeden Fall ein Hardwarezugriff beim ersten Aufruf des Komponententreibers. Dieser erste 
gultige Signalwert wird gemass dem Rechensystem in dem Zwischenspeicher (ShadowBuffer) gespeichert. Der 
Komponententreiber benutzt den nicht korrekten Wert aus dem Schreib-Lese-Speicher. 

b) Abgleich der Signale der Initialisierungstask (Bezugszeichen 30 in Figur 3): Die Task 30 hat einen TaskCounter 
10. Sie wird nur bei Steuergerate-Reset ausgefuhrt. Master 2 und Slave 3 senden die CAN Daten der Initialisie- 
rungstask 30 in einem Signal-lnitialisierungs-Prozess. Dieser Prozess wird am Ende der Initialisierung ausgefuhrt, 
urn sicherzustellen, dass alle Hardware-Zugriffe der Initialisierung ausgefuhrt wurden, der Zwischenspeicher also 
mit giiltigen Werten gefullt ist. Nach dem Versenden der Daten der Initialisierungstask 30 warten Master 2 und Slave 
3 auf den Empfang des Datenpaketes. Die maximale Wartezeit kann uber ein Label appliziert werden. Die Daten 
werden sofort nach dem Emfpang (Dieser Codeteil wird nahezu zeitgleich in Master 2 und Slave 3 durchlaufen. 
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Hier ist eine Synchronisation der Zeitbasen in Master 2 und Slave 3 moglich.) dekodiert und somit im eigenen 
Zwischenspeicher gespeichert. Jedes Steuergerat 2, 3 hat jetzt alle ftir die Initialisierung gultigen Signalwerte im 
Zwischenspeicher hinterlegt. 

c) Aktualisieren (Update) der Signale der Initialisierungstask 30: Kopieren der Signalwerte vom Zwischenspeicher 
in den Schreib-Lese-Speicher. 

d) Aufruf des Initialisierungsprozesses der Signale, die in der Initialisierung das PT1 -Filter initialisieren. 

e) Normaler Betrieb des Rechnersystems wahrend des Fahrbetriebs der Brennkraftmaschine (DriveMode). 

[0064] FuhrtderMaster2 im Fahrbetrieb einen Reset aus, durchlaufterdie Initialisierung (vergleiche oben) undsendet 
das Datenpaket der Initialisierungstask30auf den CAN-Bus 4. Der Slave 3 empfangt das Datenpaket. Derzeitsynchrone 
Scheduleprozess startet keine Task, sondern sendet das Datenpaket auf dem CAN-Bus 4. Der Master 2 setzt seine 
Initialisierung nach der Auswertung dieses Datenpakets fort, vergleiche oben Punkt c). 

[0065] Fuhrt der Slave 3 im Fahrbetrieb einen Reset aus, durchlauft er die Initialisierung (vergleiche oben) und sendet 
das Datenpaket der Initialisierungstask 30 auf den CAN-Bus4. DerMaster2 empfangt das Datenpaket. Imzeitsynchronen 
Master-Slave-Komponenten-Treiber-Start-Prozess erkennt er die Anforderungdes Datenpakets vom Slave3 undsendet 
nichtdieDaten dermomentanen Task, sondern die Datenderlnitialisierungstask30. Der Slave3setztseine Initialisierung 
nach der Auswertung dieses Datenpakets fort, vergleiche oben Punkt c). 

[0066] Anhand Figur5 soil die Botschafts- und Signalspeicherung in dem erfindungsgemaBen Rechnersystem ver- 
deutlichtwerden. In dem Master-Steuergerat2werden Sensorikdaten 13 von einerentsprechenden Hardware (Sensoren 
50) geholt und in dem Zwischenspeicher (ShadowBuffer51 ) zwischengespeichert. Zum Aktualisieren der in dem Master 
2 in der darauffolgenden Zeitscheibe zur Berechnung benutzten Sensorikdaten 13 auf den aktuellen Stand, werden die 
aktuellen Sensorikdaten 13 aus dem Zwischenspeicher 51 in einen Schreib-Lese-Speicher (RAM Mirror 52) kopiert 
(Schritt 53). Aus diesem werden sie dann bei Bedarf von den auf dem Master 2 ablaufenden Computerprogrammen 54 
ausgelesen und fur Berechnungen herangezogen (Schritt 55). Die aktuellen Sensorikdaten 13 werden auBerdem aus 
dem Zwischenspeicher 51 ausgelesen und in einem Nachrichten-Speicher (Message Buffer 56) zwischengespeichert 
(Schritt 57). Von dort werden sie dann fiber einen Dual-Port RAM 58 und den Datenbus 4 an das Slave-Steuergerat 3 
ubertragen. 

[0067] In dem Slave 3 werden die aktuellen Sensorikdaten 1 3 des Masters 2 iiber einen Dual-Port RAM 59 in einem 
Nachrichten-Speicher (Message Buffer 60) zwischengespeichert. Von dort werden die Sensorikdaten 1 3 dann in einem 
Schritt 61 in einen Zwischenspeicher (ShadowBuffer 62) ubertragen. Zum Aktualisieren der in dem Slave 3 in der 
darauffolgenden Zeitscheibe zur Berechnung benutzten Sensorikdaten 1 3 auf den aktuellen Stand, werden die von dem 
Master 2 empfangenen, aktuellen Sensorikdaten 13 aus dem Zwischenspeicher 62 in einen Schreib-Lese-Speicher 
(RAM Mirror 63) kopiert (Schritt 64). Aus diesem werden sie dann bei Bedarf von den auf dem Slave 3 ablaufenden 
Computerprogrammen 65 ausgelesen und fur Berechnungen herangezogen (Schritt 66). 

[006B] AuBerdem werden in dem Slave-Steuergerat 3 Sensorikdaten 13 von einer entsprechenden Hardware (Sen- 
soren 67) geholt und in dem Zwischenspeicher 62 zwischengespeichert. Zum Aktualisieren der in dem Slave 3 in der 
darauffolgenden Zeitscheibe zur Berechnung benutzten Sensorikdaten 1 3 auf den aktuellen Stand, werden die aktuellen 
Sensorikdaten 13 aus dem Zwischenspeicher 62 in den Schreib-Lese-Speicher 63 kopiert (Schritt 64). Aus diesem 
werden sie dann bei Bedarf von den auf dem Slave 3 ablaufenden Computerprogrammen 65 ausgelesen und fur Be- 
rechnungen herangezogen (Schritt 66). Die aktuellen Sensorikdaten 13 werden auBerdem aus dem Zwischenspeicher 
62 ausgelesen und in dem Nachrichten-Speicher 60 zwischengespeichert (Schritt 68). Von dort werden sie dann iiber 
den Dual-Port RAM 59 und den Datenbus 4 an das Master-Steuergerat 2 ubertragen. 

[0069] In dem Master 2 werden die aktuellen Sensorikdaten 13 des Slaves 3 iiber den Dual-Port RAM 58 in dem 
Nachrichten-Speicher 56 zwischengespeichert. Von dort werden die Sensorikdaten 13 dann in einem Schritt 69 in den 
Zwischenspeicher 51 iibertragen. Zum Aktualisieren der in dem Master 2 in der darauffolgenden Zeitscheibe zur Be- 
rechnung benutzten Sensorikdaten 13 auf den aktuellen Stand, werden die von dem Slave 3 empfangenen, aktuellen 
Sensorikdaten 13 aus dem Zwischenspeicher 51 in den Schreib-Lese-Speicher 52 kopiert (Schritt 53). Aus diesem 
werden sie dann bei Bedarf von den auf dem Master 2 ablaufenden Computerprogrammen 54 ausgelesen und fur 
Berechnungen herangezogen (Schritt 55). 

[0070] Wahrend in den Zwischenspeichem 51, 62 die Sensorikdaten 13 der aktuellen Zeitscheibe (verarbeitet zum 
Zeitpunkt n) abgelegt sind, erfolgt die eigentliche Abarbeitung der Computerprogramme 54, 65 anhand der Sensorikdaten 
1 3 der vorangegangenen Zeitscheibe (verarbeitet zum Zeitpunkt n-1 ). Die Computerprogramme 54, 65 senden aus der 
Anwendungssoftware-Schicht 7 heraus Anforderungen 70, 71 nach neuen Werten fur die Sensorikdaten 13 an die 
Hardwaretreiber-Schicht 6. Die oben beschriebenen Ablaufe mit den Schritten 50 bis 69 geschehen unbemerkt fur die 
Anwendungssoftware-Schicht 7. Diese registriert nur, dass ihr in den Schritten 55 und 66 neue Werte fur die Sensorik- 
daten 13 iibermittelt werden. Woher die Daten genau kommen und ob es sich urn aktuelle Daten oder urn Daten der 
vorangegangenen Zeitscheibe handelt ist der Anwendungssoftware-Schicht 7 gleichgultig. 

[0071] Urn einen korrekten Datenaustausch zwischen Master 2 und Slave 3 zu gewahrleisten, werden drei verschie- 



12 



EP 1 543 389 B1 



dene Signal-/ Botschafts-Zwischenspeicherbenotigt (vergleiche Figur 5): 
MS-MessageBuffer56, 60: zur Zwischenspeicherung kompletter CAN Botschaften 

ShadowBuffer 51 , 62: zur Zwischenspeicherung einzelner Signale, bis alle Signale einer 20 ms/ 1 00 ms Zeit- 

scheibe ausgetauscht sind. Der Zugriff auf den ShadowBuffer erfolgt ausschlieBlich uber 
die Master Slave Treiber im Rahmen des Botschaftsempfangs, Botschaftsversendens 
und zum Aktualisieren des RAM Mirrors. 

RAM Mirror 52, 63: enthalt alle Signale, die fur die aktuellen Berechnungen gebraucht werden. 

Signalzugriffe erfolgen auf diesen Puffer anstatt auf die Hardware (zum Beispiel A/D- 
Wandler). 

[0072] Um bereits beim Hochlauf der Steuergerate 2, 3 die Datenkonsistenz zu gewahrleisten, wurde eine spezielle 
Strategie entwickelt, die vor dem eigentlichen Start des Rechnerprogramms ausgewahlte Daten abgleicht. Vorteilhaft 
ist dabei, dass ein ganz speziellerZeitpunkt in dem Computerprogramm des Masters 2 und des Slaves 3 zeitgleich (im 
1 00 er Mikrosekundenbereich) abgearbeitet wird. Dies erlaubt eine Justage der Zeitbasen der einzelnen Steuergerate 
2, 3. Damit konnen zum Beispiel Gliihkerzensteuersignale in dem Master 2 und dem Slave 3 prazise gegeneinander 
versetzt werden, um Spannungseinbruche der Batteriespannung zu minimieren. 

[0073] Neben den Sensorikdaten konnen auch beliebige Daten aus der Anwendersoftware in diesen Signalaustausch 
als sogenannte UserSignals einbezogen werden. Diese Signale werden jedoch nicht zwischengespeichert, um deren 
Aktual'rtat nicht unnotig zu verschlechtern. Abhangig von der Wahl des Ubertragungszeitpunktes konnen auch diese 
Signale identisch in Master- und Slavezeitscheibe verwendet werden. 

[0074] Ein Verschieben von Sensoren oder Aktoren an das andere Steuergerat lasst sich mit relativ wenig Konfigu- 
rationsanderungsaufwand erledigen, da alle Aktorikwerte in beiden Steuergeraten 2, 3 berechnet werden und die End- 
stufenfehler gekoppelt sind. 

[0075] Auf das Sicherheitskonzept des Master-Slave-Systems soil an dieser Stelle nicht weiter eingegangen werden. 
Es folgt lediglich eine beispielhafte Auflistung einiger Eckpunkte: 

CAN-Bus Hardwareuberwachung; 

CAN-Bus Datenuberwachung auf Empfang und Versenden; 

- CAN-Bus Datenuberwachung durch Checksumme uber komplettes Datenpaket; 

- Uberwachung der korrekten Zeitscheibenabfolge in jedem Steuergerat 2, 3; 

- Uberwachung der korrekten Zeitscheibenabfolge des Slave 3 durch den Master 2; und 
Erkennung eines Steuergerateresets wahrend des Betriebs durch das andere Steuergerat. 

[0076] Beide Steuergerate 2, 3 arbeiten das gleiche Computerprogramm synchron mit einem einstellbaren Zeitversatz 
ab und haben Zugriff auf die gleichen Sensorikdaten 13. Unter diesen Gesichtspunkten handelt es sich also eigentlich 
um ein Master-Master-Konzept. 

[0077] In Figur 6 ist ein Systembild eines weiteren Ausfuhrungsbeispiels des erfindungsgemaBen Rechnersystems 
mit der eingesetzten Sensorik und Aktorik dargestelrt. Gegenuber dem Ausfuhrungsbeispiel aus Figur 3 fehlt bei dem 
hierdargestellten Ausfuhrungsbeispiel beim Master 2 ein Sensor 13.7 zum Erfassen der Ortemperatur, ein Sensor 13.9 
zum Erfassen der Abgastemperatur, sowie ein Sensor 1 3.1 6 fur die Gluhstift Ruckmeldung, ein Crashsensor 1 3. 1 7, ein 
Tankleerschalter 13.18, ein Schalter 13.19 zum Melden des Status (offen, geschlossen) desTankdeckels, ein Schalter 
13.20 zum Melden einer Anforderung zum Zuheizen, ein Sensor 13.21 fur das Zuheizer-Verbrauchssignal, ein Sensor 
13.22 fur die Heizungsanforderung, ein Raps-Methyl-Sensor 13.23, ein Sensor 13.24 fur den Differenzdruck in dem 
Partikelfilter, und eine Lambdasonde 13.25. Zusatzlich ist bei dem Ausfuhrungsbeispiel aus Figur 6 ein Schalter 13.28 
fur eine MIL-Anforderung und ein Schalter 1 3.29 fur den Status eines Gluhzeitrelais vorgesehen. Beim Slave 3 fehlt ein 
Sensor 14.9 fur die Abgastemperatur, sowie ein Sensor 14.16fiirdie GIDhstift Ruckmeldung, ein Sensor 14.24 fur den 
Differenzdruck in dem Partikeffilter und eine Lambdasonde 14.25. 

[0078] Die Aktoren, die von dem Master2 uber Leistungsendstufen 1 1 angesteuert werden, umfassen nicht ein Tank- 
abschartventil 16.2, eine Startersteuerung 16.3, eine Generatorabschaltung 16.4, eine Klimaanlagenanforderung 16.5, 
eine Kuhlerthermostatsteuerung 16.7, eine LQftersteuerung 16.10, eine elektrische Kuhlwasserpumpe 16.12, eine Ka- 
talysator-Heizung 16.13, eine Additiv-Dosierpumpe 16.14, ein Zusatzrelais 16.15, eine Zuheizer-Brennersteuerung 
16.1 6, eine Abgasruckfuhrkuhlung 16.19 und ein Gluhstrftkerzen-Steuergerat 16.21 . Statt dessen sind Aktoren fur ein 
Kuhlerlufter-Bypass/Absperrrelais 16.22, eine Nachlaufpumpe 16.23, einen Kiihlerlufter Ladeluft 16.24, einen hydrau- 
lischen Kiihlerlufter 16.25, eine Kuhlerthermostat-Heizung 16.26 und eine Klimaabschaltung 16.27 vorgesehen. Die 
Aktoren, die von dem Slave 3 angesteuert werden, umfassen nicht ein Gluhrelais 17.11, eine Katalysator-Heizung 17.13, 
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eine AbgasruckfGhrkuhlung 17.19 und ein Gluhstiftkerzen-Steuergerat 17.21. Die uber den Datenbus 4 zwischen derm 
Master 2 und dem Slave 3 ubertragen Daten (Bezugszeichen 21) betreffen insbesondere die Menge bzw. den Schub- 
status, einen Zylinderzahler, einen Ansteuerstatus sowie EingangsgroBen fur ARF und LDR. 
[0079] Die Funktionen 9 des Masters 2 umfassen keine Abgasnachbehandlung und statt eines Startmoments wird 
eine Startmenge berucksichtigt. Die Funktionen 9 des Slaves 3 betreffen nicht das Startmoment, die Leerlaufregelung, 
die Momentenregelung und -begrenzung, den externen Momenteneingriff, den Laufruheregler, den aktiven Ruckel- 
dampfer, die Abgasnachbehandlung, die Ansteuerung der Kraftstoffkuhlung, FGR (GRA), die Motorlagersteuerung, die 
Klimakompressoransteuerung, die Gfuhzeitsteuerung und die Wegfahrsperre. 

[0080] Obwohl sich der Funktionsumfang von Master 2 und Slave 3 bei dem in Figur 6 dargestellten Ausfuhrungsbei- 
spiel relativ stark unterscheidet, arbeiten in beiden Steuergeraten 2, 3 doch die gleichen Computerprogramme, wobei 
in dem Slave 3 nicht alle von den Computerprogrammen berechneten Werte zur Ansteuerung von Aktoren 17 bezie- 
hungsweise zur Erfullung der Steuerungs- und/oder Regelungsfunktion herangezogen werden. Das andertjedoch nichts 
daran, dass auch bei dem Rechensystem aus Figur 6 die gleichen Computerprogramme in Master 2 und Slave 3 
zeitsynchron mit einem einstellbaren Zeitversatz ausgefiihrt werden, und dass an Master 2 und Slave 3 die gleichen 
Sensorikdaten zur Verfugung stehen. 

[0081] Die Fehlerspeicherung der Sensoren 13, 14 und Aktoren 16,17 erfolgt separat in dem Master 2 und in dem 
Slave 3. Die gespeicherten Informationen betreffend das Auftreten eines Fehlers konnen zwischen Master 2 und Slave 
3 ausgetauscht beziehungsweise abgeglichen werden. Informationen uber die Umstande des Fehlers (zum Beispiel 
wann, was, wo?) verbleiben jedoch in den Fehlerspeichern und werden nicht abgeglichen. Urn die Fehlerspeicher uber 
die Diagnoseschnittstellen 19.1, 20.1 zu Wartungszwecken auslesen zu konnen, mussen die Fehlerspeicher mit unter- 
schiedlichen Adressen (sogenannten Reizadressen) ansprechbarsein. Dies ist erforderlich, da die Software des Masters 
2 und des Slaves 3 ansonsten identisch ist. Das Auslesen der Fehlerspeicher uber die Diagnoseschnittstellen 1 9. 1 , 20.1 
kann beispielsweise uber einen CAN-Bus (KWP2000) oder uber eine serielle Schnfttstelle (K-Line) erfolgen. 
[0082] In dem in den Figuren beispielhaft beschriebenen Master Slave Systemen sind zwei Steuergerate 2, 3 uber 
einen CAN-Bus 4 miteinanderverbunden. Die Sensoren 13, 14sindzumTeil nuran einem Steuergerat 2, 3 angeschlos- 
sen. Die Sensorikdaten mussen somit unter Einhaltung der Datenkonsistenz innerhalb derzeitsynchronen Tasks von 
einem Steuergerat 2; 3 zum anderen Steuergerat 3; 2 ubertragen werden. 

[0083] Das Daten-Multiplex der CAN-Botschaften geschieht mfttels Data-ldentifiern (Data-IDs). Die Botschaften zum 
Abgleich der Sensorik 13 im Master Slave System haben den folgenden Aufbau: 



CAN ID DatalD 


Daten 


Daten 


Daten 


Daten 


Daten 


Daten 


Daten 



[0084] Die zeitsynchrone Botschaftsubertragung erfolgt bei den vorliegenden Ausf iihrungsbeispielen in einem 1 0 ms 
Raster. Dabei wird immer ein Block an CAN-Botschaften zwischen den Steuergeraten 2, 3 ausgetauscht. Das Blockende 
und somit das Ende der Daten u be rtragung wird fiber einen definierten CAN Identifier erkannt. Dieser CAN Identifier 
wird exklusiv als letzte Botschaft im CAN Ubertragungsblock verschickt. Die letzte CAN Botschaft ist wie folgt aufgebaut: 



Spezielle CAN ID 


DatalD 


CS 


Task Counter 


Daten 


Daten 


Daten 


Daten 


Daten 



DatalD: Multiplexinformationen 

CS: Checksumme alter Botschaftsbytes eines Ubertragungsblocks 

TaskCounten Schedulinginformation/Zeitscheibenzahler 

[0085] Ein Beispiel fur einen CAN Ubertragungsblock: 



Sendereihenfolge 


CAN ID 


Botschaftsinhalt 


Multiplex zwischen den 1 0 ms Tasks 


1 


401 


Daten 


Ja 


2 


402 


Daten 


Ja 


3 


403 


Daten 


Ja 


Letzte 


404 


CS.TaskCounter, Daten 


Ja 



[0086] Bei den oben beschriebenen Ausfuhrungsbeispielen werden die 20 ms Tasks (MS_Task20) und die 100 ms 
Tasks (MS_Task100_0 bis MS_Task1 00_9) in beiden Steuergeraten 2, 3 in 10 msTeile (Zeitschlitze oder Slots 70, 71) 
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unterteilt und im 1 0 ms Zeitraster gescheduled. Das heiBt, nach 20 ms sind alle Teile der 20 ms Task und nach 1 00 ms 
alle Teile der 100 ms Task ausgefiihrt (vergleiche die Aufteilung und Abarbeitung der Zeitscheiben in Figur 7). Das 
Master-Steuergerat 2 sendet alle 10 ms CAN-Botschaften, um die gemessenen Sensorikdaten 13 des Master-Steuer- 
gerats 2 an das Slave-Steuergerat 3 zu transportieren. In dieser CAN-Ubertragung wird auch die Information, welche 
5 Zeitscheibe im Master 2 aktuell ausgefuhrt wird, in Form eines Zahlers (TaskCounter) mitgesendet. Diese mitgesendete 
Nummer der aktuellen Zeitscheibe ist innerhalb der 1 00 ms Tasks (MS_Task1 00_0 bis MS_Task1 00_9) angegeben (#i, 
i = 0 bis 9). Das Slave-Steuergerat 3 synchronisiert den Start seiner 10 ms Task mittels des in Figur 4 dargestellten 
Zustandsautomaten. Das Slave-Steuergerat 3 ubertragt den Zahlerfur die aktuelle 10 ms Zeitscheibe an das Master- 
Steuergerat 2. Auf diese Weise kann der Master die Abfolge der Zeitscheiben im Slave 3 uberwachen. 

10 [0087] Anhand der Figur 8 wird der Datenaustausch in dem Master Slave System naher erlautert. In den Computer- 
programmen des Masters 2 und des Slaves 3 werden als Eingangssignale die Sensorikdaten x1 bis x5 verarbeitet, 
wobei die Sensorikdaten x1 und x2 unmittelbar an dem Master 2 und die Sensorikdaten x3 bis x5 unmittelbar an dem 
Slave 3 anliegen. Mit n ist die Zeitbasis der20 msTask bezeichnet, mit m die Zeitbasis der 1 00 ms Task. Die Sensorikdaten 
x1 bis x4 werden in der20 ms Task verarbeitet, wohingegen die Sensorikdaten x5 in der 1 00 ms Task verarbeitet werden. 

15 Das Bezugszeichen R in Figur 8 bedeutet, dass ein Daten-Aktualisierungs-Anf rage-Bit (DataUpdateRequest bit) gesetzt 
ist. In der oberen Halfte der Figur 8 ist der Master 2 und in der unteren Halfte der Slave 3 dargestellt. 
[0088] In einer Zeitscheibe n werden Daten zunachst in einem 10 ms Zeitschlitz #8 (Bezugszeichen 81) und dann in 
einem 1 0 ms Zeitschlitz #9 verarbeitet. Zu Beginn eines Zeitschlitz 81 wird eine Master-Slave-Start-Prozedur 82 abge- 
arbeitet, sowie eine Master-Slave-Transmit-Prozedur 83 zur Datenubertragung. 

20 [0089] In dem Zeitschlitz #8 enthalt der Zwischenspeicher 51 des Masters 2 die Sensorikdaten x1 (n) und x2(n) der 
aktuellen 20 ms Zeitscheibe n. AuBerdem enthalt er die Sensorikdaten x3(n-1) und x4(n-1) der vorangegangenen 20 
ms Zeitscheibe n-1. Die Sensorikdaten x4(n-1) wurden in der vorangegangenen Zeitscheibe n-1 von dem Slave 3 an 
den Master 2 ubermittelt und dort in dem Zwischenspeicher 51 abgelegt. SchlieBlich enthalt der Zwischenspeicher 51 
auch die Sensorikdaten x5(m-1) der vorangegangenen 1 00 ms Zeitscheibe m-1 . Des weiteren enthalt in dem Zeitschlitz 

25 #8 der Schreib-Lese-Speicher 51 des Masters 2 die Sensorikdaten x1(n-1), x2(n-1), x3(n-1), x4(n-1) der vorangegan- 
genen 20 ms Zeitscheibe n-1 sowie die Sensorikdaten x5(m-1) der vorangegangenen 100 ms Zeitscheibe m-1. 
[0090] Die Computerprogramme in dem Slave 3 werden in Zeitscheiben zeitsynchron mit einem einstellbaren Zeit- 
versatz 80 relativ zu dem Master2 abgearbeitet. Der Zwischenspeicher 62 des Slaves 3 enthalt in der um den Zeitversatz 
80 verzogerten Zeitscheibe n die Sensorikdaten x1 (n), x3(n) und x4(n), wobei die Daten x3(n) und x4(n) unmittelbar an 

30 dem Slave 3 anliegen. Die Sensorikdaten x1 (n) wurden wa hrend des Ze'rtversatzes 80 in einer CAN-Botschaft von dem 
Master 2 an den Slave 3 ubertragen und dort in dem Zwischenspeicher 62 abgelegt. AuBerdem enthalt der Zwischen- 
speicher 62 die Sensorikdaten x2(n-1 ) der vorangegangenen 20 ms Zeitscheibe n-1 sowie die Sensorikdaten x5(m) der 
aktuellen 100 ms Zeitscheibe m. In dem Schreib-Lese-Speicher 63 sind noch die Wertex1(n-1), x2(n-1), x3(n-1), x4(n- 
1) und x5(m-1) der vorangegangenen Zeitscheiben n-1, m-1 abgelegt. Die aktuellen Sensorikdaten x3(n) und x5(m), 

35 die der Slave 3 soeben von den Sensoren 13 eingelesenen hat, werden von dem Slave 3 an den Master 2 ubermittelt 
und dort in dem Zwischenspeicher 51 abgelegt. 

[0091] In dem Zeitschlitz #9 werden die aktuellen Sensorikdaten x2(n), die der Master 2 soeben von den Sensoren 
13 eingelesen hat, in einer CAN-Botschaft an den Slave 3 ubertragen. Ebenso werden die aktuellen Sensorikdaten x4 
(n), die der Salve 3 soeben von den Sensoren 1 3 eingelesen hat, in einer CAN-Botschaft an den Master 2 ubertragen. 

40 Somit stehen in beiden Steuergeraten 2, 3 samtliche aktuellen Sensorikdaten x1 (n) bis x4(n) und x5(m) zur Verfugung. 
In der darauffolgenden Zeitscheibe n+1 werden die aktuellen Sensorikdaten in die Schreib-Lese-Speicher 52, 63 des 
Master 2 und des Slave 3 ubertragen, wo sie fur die Abarbeitung der Computerprogramme zur Verfugung stehen. 
[0092] AuBerdem werden in der Zeitscheibe n+1 wieder aktuelle Sensorikdaten x1 (n+1 ), x2(n+2) von dem Master 2 
und aktuelle Sensorikdaten x3(n+1), x4(n+1) von dem Slave 3 unmittelbar von Sensoren 13 eingelesen und in den 

45 Zeitschlitzen #0 und #1 uber den CAN-Datenbus 4 an das jeweils andere Steuergerat 3; 2 ubertragen, so dass zum 
nachfolgenden Zeitschlitz n+2 die aktuellen Sensorikdaten x1(n+1) bis x4(n+1) sowie x5(m) fur die Abarbeitung der 
Computerprogramme zur Verfugung stehen. Die Sensorikdaten x5 werden nur in jeder funften Zeitscheibe von dem 
Slave 3 eingelesen, also das nachste Mai wieder in der Zeitscheibe n+5. 

50 

Patentanspruche 

1. Verfahren zum Betreiben von mindestens zwei miteinanderverbundenen Steuergeraten (2, 3), wobei die Steuer- 
gerate (2, 3) auf Sensorikdaten (x1 , ... x5) zugreifen und jeweils mindestens ein Computerprogramm zur Steuerung 
55 von Betriebsablaufen, insbesondere in einem Fahrzeug, abarbeiten und die Steuergerate (2, 3) Synchronisations- 

informationen austauschen, dadurch gekennzelchnet, dass die Steuergerate (2, 3) das gleiche Computerpro- 
gramm zeitsynchron mit einem einstellbaren Zeitversatz (80) abarbeiten. 
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2. Verfahren nach Anspruch 1 , dadurch gekennzeichnet, dass in den Steuergeraten (2, 3) die selben Sensorikdaten 
(x1 , ... x5) zur Verfugung stehen. 

3. Verfahren nach Anspruch 1 Oder 2, dadurch gekennzeichnet, dass die Steuergerate (2, 3) jeweils nur einen Teil 
5 ailer Sensorikdaten (x1 , ... x5) von Sensoren (13, 14) erhalten und die Steuergerate (2, 3) Sensorikdaten (x1 , ... x5) 

austauschen, so dass in jedem Steuergerat (2, 3) alle Sensorikdaten (x1, ... x5) zur Verfugung stehen. 

4. Verfahren nach einem der Anspruche 1 bis 3, dadurch gekennzeichnet, dass in den einzelnen Steuergeraten (2, 
3) mit der zeitsynchronen Abarbeitung der Computerprogramme unter Zugriff auf die Sensorikdaten (x1 , ... x5) so 

w lange gewartet wird, bis in jedem Steuergerat (2, 3) alle aktuellen Sensorikdaten (x1 , ... x5) zur Verfugung stehen. 

5. Verfahren nach einem der Anspruche 1 bis 4, dadurch gekennzeichnet, dass derZeitversatz (80) in Abhangigkeit 
von der fur den Austausch der Sensorikdaten (x1 , ... x5) zwischen den Steuergeraten (2, 3) benotigten Zeitdauer 
eingestellt wird. 

15 

6. Verfahren nach einem der Anspruche 1 bis 5, dadurch gekennzeichnet, dass der Zeitversatz (80) wahrend des 
Betriebs der Steuergerate (2, 3) eingestellt wird. 

7. Verfahren nach Anspruch 5 Oder 6, dadurch gekennzeichnet, dass der Zeitversatz (80) in Abhangigkeit von der 
20 fur den Austausch der Sensorikdaten (x1 , ... x5) zwischen den Steuergeraten (2, 3) benotigten Zeitdauer geregelt 

wird. 

8. Verfahren nach einem der Anspruche 5 bis 7, dadurch gekennzeichnet, dass der Zeitversatz (80) in Abhangigkeit 
von der fur den Austausch der Sensorikdaten (x1 , ... x5) zwischen den Steuergeraten (2, 3) benotigten Zeitdauer 

25 gedampft eingestellt bzw. geregelt wird. 

9. Verfahren nach einem dervorangegangenen Anspruche, dadurch gekennzeichnet, dass die Synchronisation der 
Steuergerate (2, 3) allein durch den Austausch von Nutzdaten uber die Datenubertragungsmittel (4) ohne die Uber- 
tragung gesonderterSynchronisationsinformationen ausgefuhrtwird. 

30 

10. Rechnersystem umfassend mindestens zwei miteinander verbundene Steuergerate (2, 3) und ein die Steuergerate 
(2, 3) verbindendes Datenubertragungsmedium (4) zum Austausch von Synchronisationsinformationen zwischen 
den Steuergeraten (2, 3), wobei die Steuergerate (2, 3) auf Sensorikdaten (x1 , ... x5) zugreifen und jeweils minde- 
stens ein Computerprogramm zur Steuerung von Betriebsablaufen, insbesondere in einem Fahrzeug, abarbeiten, 

35 dadurch gekennzeichnet, dass die Steuergerate (2, 3) das gleiche Computerprogramm zeitsynchron mit einem 

durch Einstellmittel einstellbaren Zeitversatz (80) abarbeiten. 

1 1 . Rechnersystem nach Anspruch 9, dadurch gekennzeichnet, dass eines der Steuergerate als Master-Steuergerat 
(2) und die Qbrigen Steuergerate als Slave-Steuergerate (3) definiert sind, wobei das Master-Steuergerat (2) Syn- 

40 chronisatlonsinformationen an die Slave-Steuergerate (3) ubermittelt. 

12. Rechnersystem nach Anspruch 10, dadurch gekennzeichnet, dass sich die Slave-Steuergerate (3) nach dem 
Hochfahren des Rechnersystems automatisch auf die Zeitbasis des Master-Steuergerats (2) aufsynchronisieren. 

45 13. Rechnersystem nach einem der Anspruche 9 bis 11, dadurch gekennzeichnet, dass an die Steuergerate (2, 3) 
jeweils nur ein Teil der Sensoren (13, 14) angeschlossen ist, die Steuergerate (2, 3) jeweils nur einen Teil aller 
Sensorikdaten (x1 , ... x5> erhalten und die Steuergerate (2, 3) uber das Datenubertragungsmedium (4) Sensorik- 
daten (x1, ... x5) austauschen, so dass in jedem Steuergerat (2, 3) alle Sensorikdaten (x1, ... x5) zur Verfugung 
stehen. 

50 

14. Rechnersystem nach einem der Anspruche 9 bis 12, dadurch gekennzeichnet, dass in den einzelnen Steuerge- 
raten (2, 3) Mittel vorgesehen sind, urn mit der zeitsynchronen Abarbeitung der Computerprogramme unter Zugriff 
auf die Sensorikdaten (x1, ... x5) so lange zu warten, bis in jedem Steuergerat (2, 3) alle aktuellen Sensorikdaten 
(x1 , ... x5) zur Verfugung stehen. 

55 

15. Rechnersystem nach einem der Anspruche 9 bis 13, dadurch gekennzeichnet, dass jedes Steuergerat (2, 3) 
unterteilt ist in eine Hardware-Ebene (5), eine Hardwaretreiber-Ebene (6) und eine Anwendungssoftware-Ebene 
(7), wobei das Computerprogramm zur Steuerung von Betriebsablaufen in der Anwendungssoftware-Ebene (7) 
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abiauft und die Ubertragung der Sensorikdaten (x1 , ... x5) unabhangig von der Anwendungssoftware-Ebene (7) in 
der Hardwaretreiber-Ebene (6) abiauft. 

16. Rechnersystem nach einem der Anspruche 12 bis 14, dadurch gekennzeichnet, dass die Sensoren (13, 14) den 
Steuergeraten (2, 3) derart zugeordnet und an den ihnen jeweils zugeordneten Steuergeraten (2, 3) angeschlossen 
sind, dass sich wahrend des Betriebs des Rechnersystems auf dem Datenubertragungsmedium (4) in beide Uber- 
tragungsrichtungen eine im zeitlichen Mittel im wesentlichen gleichmaGige Ausiastung ergibt. 

17. Rechnersystem nach einem der Anspruche 9 bis 15, dadurch gekennzeichnet, dass die Datenubertragung uber 
das Datenubertragungsmedium (4) nach dem CAN (Controller Area Network)-Protokoll erfolgt. 



Claims 

15 1. Method for operating at least two interconnected control devices (2, 3), the control devices (2, 3) accessing sensor 
system data (x1 , ... x5) and each running at least one computer program for controlling operational sequences, in 
particular in a vehicle, and the control devices (2, 3) exchanging synchronization information, characterized in that 
the control devices (2, 3) run the same computer program in synchronism and with an adjustable time offset (80). 

20 2. Method according to Claim 1, characterized in that the same sensor system data (x1, ... x5) is available in the 
control devices (2, 3). 

3. Method according to Claim 1 or 2, characterized in that the control devices (2, 3) each receive only some of all 
the sensor system data (x1 , ... x5) from sensors (13, 14), and the control devices (2, 3) exchange sensor system 

25 data (x1 , ... x5) so that all the sensor system data (x1 , ... x5) is available in each control device (2, 3). 

4. Method according to one of Claims 1 to 3, characterized in that the individual control devices (2, 3) delay the 
synchronous running of the computer programs by accessing the sensor system data (x1 , ... x5) until all the current 
sensor system data (x1, ... x5) is available in each control device (2, 3). 

30 

5. Method according to one of Claims 1 to 4, characterized in that the time offset (80) is set as a function of the time 
period required to exchange the sensor system data (x1 , ... x5) between the control devices (2, 3). 

6. Method according to one of Claims 1 to 5, characterized in that the time offset (80) is set while the control devices 
35 (2, 3) are operating. 

7. Method according to Claim 5 or 6, characterized in that the time offset (80) is regulated as a function of the time 
period required to exchange the sensor system data (x1 , ... x5) between the control devices (2, 3). 

40 8. Method according to one of Claims 5 to 7, characterized in that the time offset (80) is set or regulated in a damped 
fashion as a function of the time period required to exchange the sensor system data (x1 , ... x5) between the control 
devices (2, 3). 

9. Method according to one of the preceding claims, characterized in that the control devices (2, 3) are synchronized 
45 solely by the exchange of useful data via the data transmission means (4) without separate synchronization infor- 
mation being transmitted. 

10. Computer system comprising at least two interconnected control devices (2, 3) and a data transmission medium 
(4) which connects the control devices (2, 3) for the exchange of synchronization information between the control 

50 devices (2, 3), the control devices (2, 3) accessing sensor system data (x1, ... x5) and each running at least one 

computer program for controlling operational sequences, in particularin a vehicle, characterized in that the control 
devices (2, 3) run the same computer program in synchronism with a time offset (80) which can be set by setting 
means. 

55 11. Computer system according to Claim 9, characterized in that one of the control devices is defined as a master 
control device (2) and the other control devices are defined as slave control devices (3), the master control device 
(2) transferring synchronization information to the slave control devices (3). 
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1 2. Computersystem according to Claim 1 0, characterized in that the slave control devices (3) synchronize themselves 
automatically to the time base of the master control device (2) after the computer system is powered up. 

1 3. Computer system according to one of Claims 9 to 1 1 , characterized in that in each case only some of the sensors 
(13, 14) are connected to the control devices (2, 3), the control devices (2, 3) each receive only some of all the 
sensor system data (x1 p x5), and the control devices (2, 3) exchange sensor system data (x1, ... x5) via the data 
transmission medium (4) so that all the sensor system data (x1, ... x5) is available in each control device (2, 3). 

14. Computer system according to one of Claims 9 to 12, characterized in that in the individual control devices (2, 3) 
means are provided in order to delay the synchronous running of the computer programs by accessing the sensor 
system data (x1 , ... x5) until all the current sensor system data (x1 , ... x5) is available in each control device (2, 3). 

15. Computer system according to one of Claims 9 to 13, characterized in that each control device (2, 3) is divided 
into a hardware level (5), a hardware driver level (6) and an application software level (7), the computer program 
for controlling operational sequences running in the application software level (7) and the sensor system data (x1 , ... 
x5) being transmitted in the hardware driver level (6), independently of the application software level (7). 

16. Computersystem according to one of Claims 12 to 14, characterized in that the sensors (13, 14) are assigned to 
the control devices (2, 3) and are connected to the control devices (2, 3) assigned to them in such a way that 
essentially uniform capacity utilization when averaged over time comes about on the data transmission medium (4) 
in both transmission directions during the operation of the computer system. 

17. Computer system according to one of Claims 9 to 15, characterized in that data is transmitted via the data trans- 
mission medium (4) according to the CAN (Controller Area Network) protocol. 



Revendications 

1. Precede pour faire fonctionner au moins deux appareils de commande (2, 3) interconnects, les appareils de 

commande (2, 3) utilisant des donnees de capteur (x1 x5) et executant chacun au moins un programme infor- 

matique pour commander des sequences de fonctionnement, en particulier dans un vehicule, et les appareils de 
commande (2, 3) echangeant des informations de synchronisation, 

caracterise en ce que 

les appareils de commande (2, 3) executent le meme programme informatique de maniere synchronisee dans le 
temps avec un decalage de temps (80) reglable. 

2. Precede selon la revendication 1 , 
caracterise en ce que 

les memes donnees de capteur (x1 , x5) sont disponibles dans les appareils de commande (2, 3). 

3. Procede selon la revendication 1 ou 2, 
caracterise en ce que 

les appareils de commande (2, 3) ne recoivent chacun qu'une partie de toutes les donnees de capteur (x1 , x5) 

des capteurs (13, 14) et les appareils de commande (2, 3) echangent des donnees de capteur (x1 x5) de sorte 

que, dans chaque appareil de commande (2, 3), toutes les donnees de capteur (x1 , x5) sont disponibles. 

4. Procede selon Tune des revendications 1 a 3, 
caracterise en ce que 

dans les difterents appareils de commande (2, 3), on attend I'execution synchronisee dans le temps des programmes 
informatiques en accedant aux donnees de capteur (x1 , x5) jusqu'a ce que toutes les donnees de capteur (x1 , 
x5) effectives soient disponibles dans chaque appareil de commande (2, 3). 

5. ProcedS selon Tune des revendications 1 a 4, 
caracterise en ce que 

le decalage de temps (80) est regie en fonction de la duree de temps necessaire pour I'echange des donnees de 
capteur (x1 , x5) entre les appareils de commande (2, 3). 

6. Procede selon I'une des revendications 1 a 5, 
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caracterise en ce que 

le decalage de temps (80) est regie lors du fonctionnement des appareils de commande (2, 3). 

7. Precede selon la revendication 5, 
caracterise en ce que 

le decalage de temps (80) est regule en fonction de la duree de temps necessaire pour I'echange des donnees de 
capteur (x1 x5) entre les appareils de commande (2, 3). 

8. Procede selon Tune des revendications 5 a 7, 
caracterise en ceque 

le decalage de temps (80) est regie ou regule de facon amortie en fonction de la duree de temps necessaire pour 
I'echange des donnees de capteur (x1, x5) entre les appareils de commande (2, 3). 

9. Procede selon Tune des revendications precedentes, 
caracterise en ce que 

la synchronisation des appareils de commande (2, 3) est realisee par le seul echange de donnees utiles via les 
moyens de transmission de donnees (4) sans transmission d'informations de synchronisation particulieres. 

10. Systeme informatique comprenant au moins deux appareils de commande (2, 3) interconnects et un moyen de 
transmission de donnees (4) reliant les appareils de commande (2, 3) pour echanger des informations de synchro- 
nisation entre les appareils de commande (2, 3), les appareils de commande (2, 3) utilisant des donnees de capteur 
(x1, x5) et executant chacun au moins un programme informatique pour commander des sequences de fonc- 
tionnement en particulier dans un vehicule, 

caracterise en ce que 

les appareils de commande (2, 3) executent le meme programme informatique de facon synchronisee dans le temps 
avec un decalage de temps (80) reglable par un moyen de reglage. 

11. Systeme informatique selon la revendication 9, 
caracterise en ce qu' 

Tun des appareils de commande est defini comme appareil de commande maitre (2) et les autres appareils de 
commande comme appareils de commande esclaves (3), I'appareil de commande maitre (2) transmettant des 
informations de synchronisation aux appareils de commande esclaves (3). 

12. Systeme informatique selon la revendication 10, 
caracterise en ce que 

les appareils de commande esclaves (3) se synchronisent automatiquement avec la base de temps de I'appareil 
de commande maitre (2) apres le lancement du systeme informatique. 

13. Systeme informatique selon I'une des revendications 9 a 11, 
caracterise en ce que 

respectivement une partie des capteurs (1 3, 1 4) seulement est reliee aux appareils de commande (2, 3), les appareils 
de commande (2, 3) ne recoivent chacun qu'une partie de toutes les donnees de capteur (x1 , x5) et les appareils 
de commande (2, 3) echangent des donnees de capteur via le moyen de transmission de donnees (4), de sorte 
que toutes les donnees de capteur (x1 x5) sont disponibles dans chaque appareil de commande (2, 3). 

14. Systeme informatique selon Tune des revendications 9 a 12, 
caracterise en ce que 

les differents appareils de commande (2, 3) comportent des moyens pour attendre I'execution synchronisee dans 
le temps des programmes informatiques en accedant aux donnees de capteur (x1 , x5) jusqu'a ce que toutes les 
donnees de capteur (x1 , x5) effectives soient disponibles dans chaque appareil de commande (2, 3). 

15. Systeme informatique selon Tune des revendications 9 a 13, 
caracterise en ce que 

chaque appareil de commande (2, 3) est divise en un niveau materiel (5), un niveau du moteur materiel (6) et un 
niveau de logiciel duplication (7), le programme informatique pour commander des sequences de fonctionnement 

se deroulant au niveau de logiciel ^application (7) et la transmission des donnees de capteur (x1 x5) se deroulant 

au niveau du moteur materiel (6) independamment du niveau de logiciel duplication (7). 
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16. Systeme informatique selon Tune des revendlcations 12 a 14, 
caracterise en ce que 

les capteurs (13, 14) sont affectes aux appareils de commande (2, 3) et relies aux appareils de commande (2, 3) 
leur etant respectivement associes de telle sorte que pendant le fonctionnement du systeme informatique, on obtient 
sur le moyen de transmission de donnees (4) dans les deux directions de transmission une charge moyenne pour 
I'essentiel reguliere en moyenne dans le temps. 

17. Systeme informatique selon Tune des revendications 9 a 15, 
caracterise en ce que 

la transmission de donnees via le moyen de transmission de donnees (4) s'effectueselon le protocole CAN (Controller 
Area Network). 
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